Control Interno 4

Unidad Actividades de
didáctica Auditoría Interna
Subdirección de Proyección Institucional ESAP

Ac tividades de Auditoría Interna
Escuela Superior de Administración Pública Actividades de

ESAP. auditoría Interna
Pedro Eugenio Medellín Torres Autor

Director Nacional Andrés Merizalde
Fernando Guzmán Rodríguez Corrección de estilo, acompañamiento

Subdirector Académico pedagógico, diseño instruccional, diseño
gráfico y virtualización.
Jairo Díaz Pinzón
Subdirector de Alto Gobierno Equipo Componente 1
Fortalecimiento del proceso de
Mauricio Vasco Moscovith capacitación virtual
Subdirector de Proyección Institucional Proyecto ESAP – CMA
Ruby Maritza Gerena Useche Fecha última versión

Jefe Departamento de Capacitación Junio 2019
ESAP - CMA ha verificado, hasta donde es posible, que el contenido de los enlaces web citados
y presentados en este curso sean verídicos y que correspondan; sin embargo, y debido a la
naturaleza dinámica de internet, ESAP - CMA no puede responsabilizarse por el correcto y
adecuado funcionamiento de los mismos.
Las imágenes de este documento han sido compradas a través de: https://www.123rf.com/
Objetivo de aprendizaje.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 5
Resumen . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6
Tema 1: Generalidades sobre la realización de una auditoría. . . . . . . . . 8
Tema 2: Inicio de la auditoría.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10

2.1. Establecimiento del contacto con el auditado. . . . . . . . . . . . . . . . . . . . . . . 11
2.2. Determinación de la viabilidad de la auditoría. . . . . . . . . . . . . . . . . . . . . . . 13
Tema 3: Preparación de las actividades de auditoría.. . . . . . . . . . . . . . 15

3.1. Revisión de la información documentada. . . . . . . . . . . . . . . . . . . . . . . . . . 16
3.2. Planificación de la auditoría. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 17
3.3. Asignación de las tareas al equipo auditor.. . . . . . . . . . . . . . . . . . . . . . . . . 24
3.4. Preparación de la información documentada para la auditoría. . . . . . . . . . . . . . . 25
Tema 4: Realización de las actividades de auditoría. . . . . . . . . . . . . . . 26

4.1. Generalidades. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 26
4.2. Asignación de roles y responsabilidades de los guías y los observadores. . . . . . 28
4.3. Realización de la reunión de apertura. . . . . . . . . . . . . . . . . . . . . . . . . . . . 29
4.4. Comunicación durante la auditoría. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 30
4.5. Disponibilidad y acceso a la información de la auditoría. . . . . . . . . . . . . . . . . 31
3
4.6. Revisión de la información documentada durante la auditoría. . . . . . . . . . . . . 31

4.7. Recopilación y verificación de la información. . . . . . . . . . . . . . . . . . . . . . . . 31
4.8. Generación de hallazgos de la auditoría. . . . . . . . . . . . . . . . . . . . . . . . . . . 35
4.9. Determinación de conclusiones de la auditoría. . . . . . . . . . . . . . . . . . . . . . . 36
4.10. Realización de la reunión de cierre. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 37
Tema 5: Preparación y distribución del informe de auditoría. . . . . . . . . 39

5.1. Preparación del informe de auditoría.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 39
5.2. Distribución del informe de auditoría. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 40
Tema 6: Finalización de la auditoría. . . . . . . . . . . . . . . . . . . . . . . . . 41
Tema 7: Realización de actividades de seguimiento de la auditoría. . . . . 42
Glosario.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 45
Lista de Referencias. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 48
4
Objetivo
de Aprendizaje
Comprender la estructura y funcionalidad de las fases de planificación y

ejecución de una auditoría interna individual, tomando directrices y reco-
mendaciones planteadas por fuentes nacionales e internacionales expertas.
5
Resumen
El principal reto de los auditores internos es el total cumplimiento del ob-
jetivo general del programa de auditoría interna de la organización y para
lograrlo, resulta fundamental la planificación de todas las actividades a rea-
lizar en el marco de cada una de las auditorías individuales, incluyendo la
determinación del recurso humano y la asignación de roles y responsabi-
lidades específicos de los miembros del equipo, la determinación de los
métodos, de los recursos físicos y tecnológicos necesarios, de la logística,
de las agendas, etc.
Por otra parte, entes expertos en auditoría interna han desarrollado pro-
puestas con orientaciones metodológicas para planificar y realizar audito-
rías individuales, y la presente unidad pretende recoger algunas de ellas,
que pueden agregar valor a las auditorías que se realizan en organizaciones
de los sectores público y privado.
La unidad se desarrolla siguiendo el hilo conductor que presenta el Capí-

tulo Sexto de la Guía GTC ISO19011 (2018), recientemente actualizada a
6
su tercera versión y que desde la publicación de las dos primeras ediciones

ha buscado brindar herramientas efectivas para la realización de auditorías
a sistemas de gestión, ajustándose cada vez a un enfoque más amplio y a
orientaciones que se ajusten a las necesidades actuales.
Se presentan orientaciones desde la GTC ISO19011 (2018), complemen-

tándolas con pautas de otras normas Internacionales para realizar audito-
rías individuales y con las orientaciones de Función Pública (2018), publica-
das en la Guía de Auditoría para Entidades Públicas - Versión 3.
7
Generalidades sobre la
Tema 1
realización de una auditoría
Después de conocer la gestión de un programa de auditoría interna en la unidad anterior, durante

esta unidad encontraremos orientación específica sobre la planificación de las auditorías indivi-
duales, el trasegar en la realización y la presentación de informes finales. La Figura 1 demuestra
bajo un esquema de gestión o de Planificar, Hacer, Verificar, Actuar (PHVA) las diferentes fases
sugeridas desde la GTC ISO 19011 (2018), el marco internacional para el ejercicio profesional de
auditorías internas, y el manual de auditorías internas hallado en (Función Pública 2018).
Como se sugiere en la GTC ISO 19011 (2018), el grado de aplicación de las disposiciones de esta
unidad depende de los objetivos y del alcance de la auditoría específica.
8
Planificar Hacer Verificar Actuar
5.2. Establecimiento
de los objetivos del
programa de auditoría
5.3. Determinación y 5.7. Revisión y

evaluación de los Mejora del programa
riesgos del programa de auditoría
de auditoría
5.4. Establecimiento 5.5. Implementación 5.6. Seguimiento del

del programa de del programa de programa de auditoría
auditoría auditoría
Capítulo 5
Capítulo 6
6.2.
Inicio de la auditoría
6.3. Preparación de 6.4. Realización de las 6.7. Realización de las

las actividades de actividades actividades de segui-
auditoría de auditoría miento de la auditoría
6.5. Preparación y 6.6. Finalización

distribución del de la auditoría
informe de auditoría
Figura 1. Diagrama de flujo para la gestión de un programa de auditoría. Muestra las diferentes
fases sugeridas para las etapas de gestión de un programa de auditoría y realización de actividades
de auditoría, bajo el esquema de gestión (Planificar, Hacer, Verificar Actuar – PHVA).
Fuente: GTC-ISO 19011. (2018).
9
Tema 2
Una vez que el líder del programa de auditoría general designa a cada líder de equipo individual,
son estos últimos quienes reciben la responsabilidad de dar inicio al trabajo.
Según Función Pública (2018) y la GTC ISO 19011 (2018), para dar inicio a un programa de au-
ditoría se deben tener en cuenta los pasos lógicos que se sugieren en la Figura 2. No obstante,
se advierte que dicha secuencia puede diferir dependiendo del auditado, de los procesos y de las
circunstancias específicas.
10
6.2.
6.3. Preparación de 6.4. Realización de las 6.7. Realización de las

las actividades de actividades actividades de segui-
auditoría de auditoría miento de la auditoría
6.5. Preparación y 6.6. Finalización

distribución del de la auditoría
informe de auditoría
Figura 2. Diagrama de flujo de la realización de una auditoría.

Fuente: ICONTEC, GTC ISO 19011:2018.
2.1. Establecimiento del contacto c. Proporcionar información pertinente so-

con el auditado bre los objetivos de la auditoría, el alcance,
De acuerdo con la GTC – ISO 19011:2018, los criterios, los métodos y la composición
el primer paso a desarrollar le corresponde al del equipo auditor, incluyendo a los exper-
líder del equipo auditor, quien debe estable- tos técnicos
cer comunicación directa con el auditado para d. Solicitar acceso a la información perti-
confirmar información y canales de comunica- nente con propósitos de planificación,
ción, así como para asegurarse de realizar las incluyendo información sobre los riesgos
siguientes actividades: y oportunidades que la organización ha
identificado y la manera en que se tratan
a. Confirmar los canales de comunicación e. Determinar los requisitos legales y regla-
con los representantes del auditado mentarios aplicables y otros requisitos
b. Confirmar la autoridad para llevar a cabo la pertinentes para las actividades, procesos,
auditoría productos y servicios del auditado
11
f. Confirmar lo acordado con el auditado res- La solicitud de información se debe realizar te-
pecto al grado de difusión y al tratamiento niendo en cuentas los objetivos y alcance de
de la información confidencial la auditoría y las actividades contempladas en
g. Hacer los preparativos para la auditoría in- el plan de auditoría.
cluyendo el calendario
h. Determinar los acuerdos específicos de la En la Figura 3 se presentan algunos de los prin-
ubicación en cuanto al acceso, seguridad y cipales documentos que pueden ser solicitados:
salud, seguridad física, confidencialidad u
otras
i. Acordar la asistencia de observadores y la
necesidad de guías o intérpretes para el
equipo auditor
j. Determinar cualquier área de interés, pre-
ocupación o los riesgos para el auditado
en relación con la auditoría específica
k. Resolver las cuestiones relativas a la com-
posición del equipo auditor con el cliente
de la auditoría (P. 21)
Según la Guía de Auditoría Para Entidades Pú-

blicas publicada por Función Pública (2018),
Se debe solicitar obtener la información y do-
cumentaciones necesarias para iniciar la audi-
toría en campo.
Los registros físicos y electrónicos que soportan

el proceso serán una de las fuentes desde donde
se obtienen datos, los cuales deben relacionarse
claramente en los papeles de trabajo.
12
Procedimientos relacionados con el

proceso sujeto de auditoría
Mapa de riesgos del proceso
Principales documentos
que deberían revisarse
Plan de acción del proceso
Planes de mejoramiento
Figura 3. Documentos que deberían revisarse. - Fuente: Elaboración propia
2.2. Determinación de la viabilidad de la auditoría

Debería estudiarse la viabilidad de la auditoría (Figura 4) para determinar que los objetivos de la
misma pueden alcanzarse teniendo en cuenta factores como la disponibilidad de información sufi-
ciente y apropiada para planificar y realizar la auditoría, disponibilidad y cooperación del auditado,
el tiempo y recursos suficientes para adelantar la auditoría, tales como acceso apropiado a tecno-
logías de la información y las comunicaciones.
Si la auditoría no es viable, el líder del equipo auditor debería recomendar una auditoría alternativa
al cliente de auditoría.
13
Establecer contacto con el auditado
Inicio de auditoria
Determinar la viabilidad de la auditoría
Figura 4. Inicio de la auditoría. - Fuente: Elaboración propia.
14
Preparación de las actividades de auditoría

Tema 3
Con suficiente anticipación al día en que se adelantarán las entrevistas, se deberían adelantar la-
bores de preparación técnica para reconocer la organización y los procesos a auditar, de manera
que el equipo auditor alcance a realizar un barrido por la documentación existente, logre reconocer
el contexto general y pueda realizar actividades de auditoría con la mayor pertinencia posible, en
función de cumplir el objetivo del programa.
A continuación, se presentan los cuatro pasos propuestos por la GTC – ISO 19011:2018, para
preparar las actividades de auditoría:
15
Realizar la revisión de la Enfoque basado en riegos

información documentada para la planificación
Detalles de la
Planificar la auditoria planificación de la
auditoría
Preparación de
las actividades
Asignar las tareas al
de auditoria
equipo auditor
Preparar la información
documentada para la
auditoría
Figura 5. Pasos para la preparación de las actividades de una auditoría.

Fuente: Elaboración propia.
3.1. Revisión de la información do- gral de “la extensión de la información docu-

cumentada mentada para determinar la posible conformi-
Es importante revisar minuciosamente la in- dad con los criterios de auditoría y detectar
formación documentada presentada por el las posibles áreas de preocupación, como de-
auditado y verificar que se reúna toda la in- ficiencias, omisiones o conflictos” (GTC – ISO
formación que permita comprender todas las 19011:2018, P. 22).
operaciones del auditado y permita preparar
todas las acciones de auditorías de forma per- La información y documentos útiles para ve-
tinente. rificar las acciones auditadas como documen-
tos y registros del sistema de gestión, como
Igualmente se debería permitir una vista inte- a informes antiguos de auditoría pasados. “La
16
revisión debería tener en cuenta el contexto ficadas, deberían ser suficientes para alcanzar
de la organización del auditado, incluyendo ta- a cumplir el objetivo general, los criterios y el
maño, naturaleza y complejidad, además ries- alcance del programa general de auditoría in-
gos y oportunidades relacionados. También terna de la organización.
debería tener en cuenta el alcance, los crite-
rios y los objetivos de la auditoría” (GTC – ISO En las entidades públicas colombianas, el Jefe
19011:2018, P. 23). de Control Interno o quien haga sus veces de-
bería asumir su rol de auditor líder y debería
En lo posible, el equipo auditor debería verifi- gestionar la aprobación del plan de auditoría
car si la información presentada es completa, que debería incluir alcance, objetivos, tiem-
correcta, coherente y actual. Igualmente de- po y los recursos necesarios tal como lo es-
bería considerarse si es suficiente la evidencia tablecen las normas internacionales para el
objetiva presentada para verificar el cumpli- ejercicio profesional de la auditoría interna (IIA
miento de los requisitos. GOLBAL, 2013). En la Figura 6, se observan
los aspectos a desarrollar en la planeación de
3.2. Planificación de la auditoría una auditoria interna para una entidad pública.
El líder de la auditoría individual tiene la res-
ponsabilidad de considerar todas las variables
que pueden afectar la realización de la audito-
ría y gestionar todas las acciones necesarias,
empezando por determinar el objetivo especí-
fico de la auditoría individual asignada, los cri-
terios, el alcance, el tiempo necesario, la agen-
da, los roles de los miembros de su equipo de
auditores, en coherencia con el programa ge-
neral de auditorías de la organización.
En su conjunto, los objetivos, criterios y alcan-

ces de todas las auditorías individuales plani-
17
Tiempo y
Objetivos Alcance Procedimientos recursos
• Son los propósitos • Marco o límite de la • Técnicas de auditoría • Se relaciona en el

establecidos, lo que se auditoría y los temas que se aplicarán para cronograma y es el
busca logra con la que serán objeto de la obtener evidencias tiempo empleado para
auditoría. misma. suficientes sobre las la realización de las
cuales emitir una tareas bajo unas
• Será relevante tener • El alcance debe ser opinión respecto al condiciones que
en cuenta los objeti- suficiente para proceso auditado. garanticen su óptima
vos institucionales satisfacer los objetivos utilización.
que serán de interés de la auditoría estable- • Los procedimientos
para la auditoría. Su cidos. que se realizan • Se debe analizar así
óptima alineación se comúnmente pueden mismo la relación de
verá reflejada en los • Deben incluirse las consultarse en la recursos humanos,
resultados y el aporte posibles limitaciones al Figura 8. financieros y equipos
a la mejora de la alcance (factores que se necesitan para
entidad. externos al equipo de la ejecución de la
auditoría) que pueden auditoría.
• Para una mayor impedir obtener toda
comprensión en la la información para
figura 7 se explican los cumplir con el objetivo.
dos tipos de trabajos
de auditoría que
pueden realizarse.
Figura 6. Aspectos a desarrollar en la planeación de una auditoria interna para una entidad pública.
Fuente: Función Pública, 2018.
18
Como se describe en la Figura 7, se pueden presentar seis (6) tipos de trabajos de auditorías de
acuerdo con la temática o el tipo de trabajo como aseguramiento financiero, aseguramiento de
controles, tecnología de la información, cumplimiento, operaciones e integrado (Función Pública,
2018).
Tipo Descripción
Proporciona aseguramiento en relación con el logro de uno o más objetivos

Aseguramiento financieros (existencia u ocurrencia, integridad, valuación y asignación,
financiero derechos y obligaciones, presentación y revelación).
Proporcionar aseguramiento en relación con el diseño y la operación de las

Aseguramiento actividades de control clave. Los controles pueden ser operativos, financieros
de controles o relacionados con el cumplimiento.
Tecnología de la Proporcionar aseguramiento en relación con el diseño y la operación de las

Información (TI) actividades de control general de Gobierno Digital.
(
Proporcionar aseguramiento en relación con el diseño y la operación de las

Cumplimiento actividades de control y los procedimientos existentes para asegurar el
cumplimiento de las leyes, regulaciones, políticas, etc.
Proporcionar aseguramiento en relación con la eficacia y eficiencia de las

Operaciones operaciones de una organización, incluidos los objetivos de desempeño y
rentabilidad y la protección de recursos contra pérdidas.
(
Proporcionar aseguramiento en relación con cualquier combinación de los

Integrado objetivos anteriores, por ejemplo, una auditoria de alcance completo puede
incluir aseguramiento respecto de todos los tipos de trabajo antes
Actuar
mencionados.
Figura 7. Tipos de trabajos de auditoría.

Fuente: Fundación de Investigaciones del IIA. Auditoría Interna. Servicios de Aseguramiento y Con-
sultoría. P 10 - 13. Función Pública, (2018).
19
Procedimiento Descripción
• Se realizan preguntas al personal del proceso auditado o a terceros y obtener sus

Consulta respuestas bien sean orales o escritas.
• Los tipos de consulta más formales incluyen entrevistas, encuestas y cuestionarios.
• Se observan a las personas, los procedimientos o los procesos.

Observación • Una limitación importante de la observación es que proporciona información en un
momento determinado, por lo que el auditor no puede concluir que lo observado es
representarivo de lo que sucede en forma general.
• Se estudian documentos y registros y en examinar físicamente los recursos tangibles.

Inspección • Los auditores internos deben reconocer y considerar su nivel de competencia (en
otras palabras, su capacidad para comprender lo que leen y lo que ven).
(
Revisión de Se realiza específicamente para probar la validez de la información documentada o

comprobantes registrada.
Se realiza específicamente para probar la integridad de la información documentada

Rastreo
o registrada.
(
Se utilizan para identificar anomalías en la información tales como fluctuaciones,

Procedimientos diferencias o correlaciones inesperadas. Dichas anomalías pueden ser indicadoras de
analíticos transacciones o eventos inusuales, de errores o de actividades fraudulentas que
Actuar
requieren una mayor atención o profundidad en el análisis.
Consiste en la obtención de verificación directa o por escrito de la exactitud de la

Confirmación
información proveniente de terceros independientes. Actuar
Figura 8. Procedimientos de auditoría.

Fuente: Fundación de Investigaciones del IIA. Auditoría Interna. Servicios de Aseguramiento y Con-
sultoría. PP. 9 - 18. Función Pública, 2018.
20
3.2.1. Enfoque basado en riesgos para la La identificación, evaluación y control de los

planificación riesgos asociados a las actividades de auditoría
En la GTC ISO 19011 (2018) se sugiere que el individual, debería estar alineada con la gestión
líder del equipo de auditoría individual adopte de riesgos realizada en la formulación del progra-
un enfoque basado en los riesgos para planifi- ma general de auditoría de la organización.
car las actividades de auditoría en los procesos
del auditado, a partir de lo que fue aproba- Para lograr los objetivos de forma eficaz, la
do en el programa general de auditoría y de planificación a partir de los riesgos identifica-
la información suministrada previamente por dos facilita el establecimiento de cronogramas
el auditado sobre la organización y sobre los y coordinaciones eficientes del trabajo.
procesos que serán revisados.
Según la GTC ISO 19011 (2018), el nivel de
La planificación de la auditoría individual con detalle proporcionado en el plan de auditoría
un enfoque con base en riesgos proporciona debería reflejar el alcance y la complejidad de
la base para el acuerdo entre el cliente de la ésta, así como los riesgos de no lograr los ob-
auditoría, el equipo auditor y el auditado en jetivos de la auditoría. Al planificar la auditoría,
lo que tiene que ver con realizar la auditoría el líder del equipo auditor debería considerar
individual. lo siguiente:
21
a) La composición del equipo auditor y su Según la GTC ISO 19011 (2018), la planifica-
competencia global ción de la auditoría debería tratar o hacer re-
b) Las técnicas de muestreo apropiadas ferencia a lo siguiente:
c) Las oportunidades para mejorar le eficacia
y eficiencia de las actividades de auditoría a) Los objetivos de la auditoría
d) Los riesgos para el logro de los objetivos b) El alcance de la auditoría, incluyendo la
de la auditoría generados por una planifi- identificación de la organización y de sus
cación ineficaz de la auditoría funciones, así como los procesos que van
e) Los riesgos para el auditado generados al a auditarse
realizar la auditoría (P. 23) c) Los criterios de auditoría y cualquier infor-
mación documentada de referencia
Lo que se considera un riesgo para el auditado d) Las ubicaciones (físicas y virtuales), las fe-
puede presentarse por la presencia del equipo chas, el horario y la duración previstos de
auditor en algún sitio sensible a la presencia las actividades de auditoría que se van a
de terceros por cuestiones de seguridad, en- llevar a cabo, incluyendo las reuniones con
torno, salud, calidad de productos y servicios, la dirección del auditado
personal o infraestructura de locaciones sus- e) La necesidad de que el equipo auditor se
ceptibles. familiarice con las instalaciones y procesos
del auditado (por ejemplo, realizando una
3.2.2. Detalles de la planificación de la visita a las ubicaciones físicas, o revisando
auditoría las tecnologías de la información y las co-
Para planificar las actividades de auditoría se municaciones)
debe tener en cuenta la disponibilidad de re- f) Los métodos de auditoría que se van a
cursos y de acceso a los sitios de trabajo. usar, incluyendo el grado en que se nece-
sita el muestreo de la auditoría para obte-
El detalle y contenido de los planes de audito- ner las evidencias de auditoría suficientes
ría dependen de muchos factores particulares g) Los roles y responsabilidades de los miem-
y deberían ser flexibles para hacer los ajustes bros del equipo auditor, así como los guías
pertinentes en la marcha. y los observadores intérpretes
22
h) La asignación de los recursos apropiados • La coordinación con otras actividades de

basada en la consideración de los riesgos y auditoría, en el caso se una auditoría con-
oportunidades relacionados con las activi- junta (P. 24)
dades que se han de auditar
Cuando no se puede verificar algunos hechos
Por otra parte, la planificación de la auditoría cumplidos en un proceso o algunas transaccio-
debería tener en cuenta los siguientes aspec- nes, se selecciona una muestra representativa
tos según sea apropiado: de acuerdo con lo complejo del proceso o sis-
tema auditado.
• La identificación de los representantes del
auditado en la auditoría Se pueden realizar dos tipos de muestreos. Por
• El idioma de trabajo y del informe de audito- una parte, el muestreo estadístico que se basa
ría, cuando sea diferente del idioma del audi- en la teoría de la distribución normal, requiere
tor o del auditado, o ambos la aplicación de fórmulas estadísticas para cal-
• Los temas del informe de auditoría cular tendencias. En Función Pública (2018),
• Los preparativos logísticos y de comunica- se anexa una caja de herramientas, donde se
ciones, incluyendo los preparativos específi- presenta un formato para este ejercicio.
cos para las ubicaciones que se van a auditar
• Las acciones específicas a tomar para tratar los Por otro lado, se presenta el muestreo “no
riesgos en el logro de los objetivos de la audi- estadístico”, como el “indiscriminado”, donde
toría y las oportunidades que surjan el equipo auditor selecciona el tamaño de la
• Los asuntos relacionados con la confidencia- muestra sin usar alguna técnica estructurada,
lidad y la seguridad de la información pero evita algún cambio que se pueda calcular.
• Las acciones de seguimiento de una audito- Igualmente, existe el muestreo “de juicio o dis-
ría previa u otras fuentes, por ejemplo, las crecional”, donde el equipo auditor pone una
lecciones aprendidas, las revisiones de pro- variante en la selección de la muestra, por
yectos ejemplo: todas las cifras mayores a determina-
• Las actividades de seguimiento de la audito- do valor, todas los productos o servicios que
ría planificada tengan una característica particular, todos los
23
positivos, los usuarios nuevos, entre otros según el juicio del equipo auditor, desde los cuales se
pueda establecer una muestra representativa.
3.3. Asignación de las tareas al equipo auditor

Es el líder del equipo auditor el encargado de asignar roles y la responsabilidad de auditar algunos
procesos, actividades, funciones, o lugares, según se establezca; teniendo en cuenta la imparcia-
lidad, la objetividad y la competencia de los auditores; así como el uso apropiado de los recursos,
los diferentes roles y responsabilidades de cada integrante del equipo auditor.
Es posible realizar cambios según el líder del equipo auditor lo establezca para el normal desarrollo
del ejercicio de auditoría.
24
3.4. Preparación de la información Se sugiere en GTC ISO 19011 (2018)

documentada para la auditoría
El equipo auditor debería preparar la informa- “La información documentada preparada para
ción necesaria recopilando y usando los medios la auditoría, y la que resulta de su uso, debería
adecuados para revisar la información documen- conservarse al menos hasta que finalice la au-
tada de listas de verificación físicas o digitales, ditoría, o según se especifique en el programa
detalles de muestreo de auditoría, información de auditoría... …la información documentada
audiovisual y cualquier otra fuente de verifica- generada durante el proceso de auditoría que
ción pertinente. contenga información confidencial o prote-
gida debería salvaguardarse de manera ade-
El uso de medios de comunicación e informá- cuada en todo momento por los miembros del
tica no debe limitar la preparación de la infor- equipo auditor” (P. 25).
mación necesaria.
25
Realización de las actividades de auditoría

Tema 4
4.1. Generalidades
Las actividades de auditoría se secuencian de tal forma que puedan adaptarse a las circunstancias
de auditorías específicas. Sin embargo, como se observa en la Figura 9, deberían tenerse en cuenta
los siguientes aspectos:
1) Asignación de roles y responsabilidades de 6) Recopilación y verificación de la informa-
los guías y los observadores ción
2) Realización de la reunión de apertura 7) Generación de hallazgos de la auditoría
3) Comunicación durante la auditoría 8) Determinación de conclusiones de la audi-
4) Disponibilidad y acceso a la información toría
de la auditoría 9) Realización de la reunión de cierre
5) Revisión de la información documentada
durante la auditoría
26
Asignar roles y responsabilidades de guías y observadores
Realizar reunión de apertura
Comunicar durante la auditoría
Asegurar disponibilidad y acceso a la información de la auditoría
Realización de las
Revisar la información documentada durante la auditoría
actividades de auditoria
Recopilar y verificar la información
Generar los hallazgos de la auditoría
Determinar las conclusiones de la auditoría
Realizar la reunión de cierre
Figura 9. Realización de actividades de auditoría.

Fuente: Elaboración propia.
27
4.2. Asignación de roles y respon- a) Ayudar a los auditores a identificar a las per-
sabilidades de los guías y los ob- sonas que participarán en las entrevistas y a
servadores confirmar los horarios y las ubicaciones
Se denomina guías y observadores a algunos b) Acordar el acceso a ubicaciones específi-
acompañantes del equipo auditor que son cas del auditado
seleccionados según sea conveniente para c) Asegurarse de que los miembros del equi-
gestionar cualquier mecanismo de acceso, se- po auditor y los observadores conozcan
guridad y salud, medio ambiente, seguridad fí- y respeten las reglas concernientes a los
sica y confidencialidad, de forma tal que no se acuerdos específicos para el acceso a la
influya, se interfiera, ni afecte el normal des- ubicación, la seguridad y salud en el traba-
empeño del trabajo de auditoría, si el líder del jo, el medio ambiente, la seguridad física, la
equipo auditor así lo determina. confidencialidad, la gestión de los riesgos,
entre otras cuestiones
Según la GTC ISO 19011:2018, los guías de- d) Ser testigos de la auditoría en nombre del
signados por el auditado deberían asistir al auditado, cuando sea apropiado
equipo que realizará la labor y actuar cuando e) Proporcionar aclaraciones o ayudar en la
así lo solicite el líder del equipo o el auditor al recopilación de información, cuando sea
que han sido asignados. Sus responsabilidades necesario (P. 26)
deberían incluir lo siguiente:
28
4.3. Realización de la reunión de pertinentes con el auditado, como la fecha

apertura y hora de la reunión de cierre, cualquier
Es primordial realizar una reunión para con- reunión intermedia entre el equipo audi-
firmar el plan de auditoría acordado entre el tor y la dirección del auditado y cualquier
auditado y el equipo auditor, presentar dicho cambio necesario
equipo y sus roles durante el ejercicio para - Los canales de comunicación formal entre
brindar seguridad y se puedan llevar a cabo el equipo auditor y el auditado
todas las actividades de auditoría planificadas. - El idioma que se va a utilizar durante la auditoría
Durante esta reunión de apertura, debe- - Mantener informado al auditado acerca
ría proporcionarse la oportunidad de realizar del progreso de la auditoría, mientras esta
preguntas, pues estos interrogantes deberían se desarrolla
brindarnos detalles del proceso de auditoría. - La disponibilidad de los recursos e instala-
Según la GTC ISO 19011:2018, se debería ciones que necesita el equipo auditor
considerar la presentación de: - Los temas relacionados con la confidencia-
lidad y la seguridad de la información
- Otros participantes, incluyendo observa- - Los acuerdos relativos al acceso, seguridad
dores y guías, interpretes y una descrip- y salud, seguridad física, emergencia y otros
ción general de sus roles acuerdos pertinentes para el equipo auditor
- Los métodos de auditoría para gestionar - Las actividades en el sitio que puedan tener
los riesgos en la organización que puedan impacto en la realización de la auditoría
resultar en la presencia de los miembros
del equipo auditor. Asimismo, se debería considerar la presenta-
ción de la información sobre los siguientes ele-
Según sea apropiado, también se debería con- mentos, según sea pertinente:
siderar la confirmación de lo siguiente:
- El método de informar sobre los hallazgos
- Los objetivos, el alcance y los criterios de de la auditoría incluyendo los criterios para
la auditoría la categorización, si la hay
- El plan de auditoría y otras disposiciones
29
- Las condiciones bajo las cuales la auditoría toría se deben anotar y notificar al líder del
puede darse por terminada equipo auditor, para comunicarlo al cliente de
- La manera de tratar los posibles hallazgos la auditoría y al auditado. Cuando estas evi-
durante la auditoría dencias nos muestran que los objetivos de au-
- Cualquier sistema de retroalimentación ditoria planteados inicialmente no son alcan-
del equipo auditado sobre los hallazgos o zables, el líder debe anunciarlo para tomar las
conclusiones de la auditoría, incluyendo acciones adecuadas y hacer los cambios en los
las quejas o apelaciones (P. 26). objetivos o variaciones en la planificación que
sean pertinentes. Estos deben ser acordados
4.4. Comunicación durante la entre el equipo auditor y el cliente de auditoría
auditoría y dárselos a conocer al auditado; si esto no es
Mientras dura la auditoría, es necesario que posible, dar por terminada la auditoría.
se llegue a acuerdos formales para lograr una
comunicación asertiva y acertada dentro del
equipo auditor, con el auditado y con partes
externas interesadas, por ejemplo, autoridades
reglamentarias, especialmente cuando sea im-
perativo comunicar las no conformidades.
Las reuniones periódicas del equipo auditor

deben evaluar el proceso de la auditoría, hacer
ajustes y reasignación de tareas, según apli-
que. El líder del equipo auditor debería anun-
ciar progresos de forma periódica, así como los
hallazgos que sugieren un riesgo significativo,
las inquietudes que se le van presentando tan-
to al auditado, como al cliente de la auditoría,
según se requiera.
Las inquietudes fuera del alcance de la audi-
30
4.5. Disponibilidad y acceso a la in- toría, sobre la base de la documentación a la

formación que se tiene acceso.
Se debe tener acceso a la información y docu-
mentación suficiente y necesaria para dar ini- La revisión de información se presenta a lo lar-
cio a las auditorías de campo. Estos registros, go del trabajo sin interferir en la eficacia de la
sean físicos o electrónicos, deben mantenerse realización de la auditoría.
para soportar el proceso.
Si por alguna razón el equipo no puede tener
Parte de la información que se solicita corres- acceso a la información solicitada dentro del
ponde a procedimientos relacionados con el tiempo estimado, el líder de equipo debería
proceso auditado, el mapa de riesgos del pro- comunicarlo tanto a las personas responsa-
ceso, el plan de acción del proceso y planes de bles, como al cliente de la auditoría y al au-
seguimiento y mejoramiento. ditado. Dependiendo de la gravedad de los
obstáculos para acceder a esta información,
La metodología que se lleve a cabo en la audi- se debe tomar la decisión de continuar, o sus-
toría depende de los objetivos que se definan pender hasta que se resuelvan los conflictos o
por el equipo auditor y el cliente de auditoría, situaciones que impiden conseguir determina-
el alcance y los criterios, así como de los tiem- da información.
pos y el lugar físico o virtual en que está dispo-
nible la información necesaria para la actividad 4.7. Recopilación y verificación de
específica de auditoría. Las circunstancias de la información
la auditoría pueden implicar que los métodos Para la recolección y verificación de la infor-
cambien durante la auditoría. mación, en la GTC ISO 19011:2018 se sugiere
lo siguiente:
4.6. Revisión de la información do-
cumentada durante el proceso “Durante la auditoría, la información pertinen-
Al reunir toda la información de soporte para te a los objetivos, el alcance y los criterios de
las actividades, se debería determinar la con- la misma, incluyendo la información relativa a
formidad del sistema con los criterios de audi- las interrelaciones entre funciones, activida-
31
des y procesos, debería recopilarse mediante ma nos conduce a los hallazgos de la auditoría.
un muestreo apropiado y debería verificarse, Si en el transcurso del ejercicio se es conscien-
en la medida de lo posible” (P. 29). te de algún cambio o algún aspecto que pueda
afectar el resultado de las auditorías, es ne-
Como evidencia de la auditoría, solo se debe cesario comunicar estos aspectos al líder del
presentar información que puede estar suje- equipo auditor y plantear las estrategias per-
ta a verificación. En caso de que no existan tinentes.
fuentes de verificación objetivas, es necesario
optar por el juicio del auditor para determinar La Figura 10 proporciona una visión general
qué tan fiable puede ser la información para de un proceso típico, desde la recopilación de
ser considerada como evidencia, ya que la mis- información hasta las conclusiones.
32
Fuente de
información
Recopilación mediante
un muestreo apropiado
Evidencia de
la auditoria
Evaluación frente a los

criterios de auditoria
Hallazgos de
la auditoria
Revisión
Conclusiones
de la auditoría
Figura 10. Visión general de un proceso típico de recopilación y verificación de la información.

Fuente: GTC ISO 19011: 2018 (P. 29)
33
En Función Pública (2018), se menciona que torizaciones a nivel interno para procedi-
los tres tipos de pruebas esperadas corres- mientos administrativos)
ponden a pruebas de control, pruebas analíti-
cas y pruebas sustantivas. Una vez identificadas las actividades de con-
trol clave, el siguiente paso será vincularlas con
4.7.1. Pruebas de control los riesgos a nivel del proceso, esto teniendo
Las pruebas de control se relacionan con el en cuenta que el logro de los objetivos está
nivel de efectividad del control interno del sujeto a distintos escenarios de riesgo y cier-
proceso auditado, de tal forma que el auditor tas actividades de control solo pueden mitigar
interno debe considerar el impacto de los con- ciertos riesgos. Cuando se determina que un
troles para toda la organización, considerando control es ineficaz, éste puede tener impacto
su diseño y forma de operar. El auditor interno en uno o varios riesgos, se pretende entonces
debe preguntarse ¿cuáles de estas actividades determinar si las actividades de control clave
de control, si no se ejecutan como se diseña- reducen o gestionan los riesgos del proceso.
ron, probablemente ocasionen la incapacidad
para lograr los objetivos del proceso? 4.7.2. Pruebas analíticas
Las pruebas analíticas se utilizan haciendo
A continuación, presentamos algunas activida- comparaciones entre dos o más estados fi-
des de control claves como: nancieros o haciendo un análisis de las razo-
nes financieras de la entidad para observar su
• Aprobar: autorizaciones presentadas du- comportamiento.
rante el proceso de auditoría
• Documentar: Presentar documentos de 4.7.3. Pruebas sustantivas
soporte como facturas, soportes de pa- Las pruebas sustantivas están relacionadas
gos, adquisiciones, etc. con la integridad, la exactitud y la validez de la
• Examinar/comparar: verificar frente a un información financiera auditada.
hecho cumplido
• Segregar: Separar responsabilidades in- La mayoría del trabajo en una auditoría de
compatibles o que no se relacionan (au- estados financieros consiste en la obtención
34
y evaluación de evidencia sobre las “declara- establecidos y las situaciones encontradas du-
ciones”, éstas son representaciones por parte rante el examen a una actividad se denominan
de la administración evidenciada en los com- “hallazgos”. Los mismos pueden determinar
ponentes de los estados financieros. Algunas conformidad o no conformidad, así como evi-
declaraciones posibles son: denciar buenas prácticas, oportunidades de
mejora y cualquier recomendación que se de-
a) Integridad: Si todas las transacciones y rive para el auditado.
cuentas que debieron ser representadas
en los estados financieros están incluidas. Los datos se deben evaluar de acuerdo a es-
b) Derechos y obligaciones: todos los bienes tándares establecidos: normas, procedimien-
son los derechos y todas las obligaciones tos aprobados, instructivos de operación de-
son las que ha adquirido la entidad. finidos en el proceso, entre otros (Función
c) Valuación o asignación: Si los bienes, obli- Pública, 2018, P. 29). La profundidad de análi-
gaciones, ingresos y gastos de una entidad sis, incluida en el plan de auditoría inicial, debe
han sido incluidos en los estados financie- permitir al equipo auditor opinar acerca de lo
ros con las cantidades apropiadas. efectivos que pueden ser los controles para
d) Existencia u ocurrencia: Si los bienes/obli- mitigar el riesgo, como el nivel de cumplimien-
gaciones existen en una fecha dada y si to con las normas establecidas aplicables.
las transacciones registradas han ocurrido
durante un periodo dado. Con respecto a las no conformidades pueden
e) Presentación y revelación de estados fi- clasificarse dependiendo del contexto de la
nancieros: Si los componentes de los esta- organización y de sus riesgos de acuerdo a la
dos financieros han sido clasificados, des- GTC ISO 19011 (2018).
critos y revelados apropiados (P. 34).
Esta clasificación puede ser cuantitativa (por
4.8. Generación de hallazgos de la ejemplo, de uno a cinco) y cualitativa (por
auditoría ejemplo, de menor a mayor) y debería revisar-
Todas las observaciones resultantes de la se con el auditado para reconocer que la evi-
comparación entre los criterios estándares dencia de la auditoría es exacta y que las no
35
conformidades se han comprendido. De igual (qué efectos puede ocasionar la diferencia

forma, se debería realizar todo el esfuerzo encontrada) (P. 35)
posible para resolver cualquier opinión diver-
gente relativa a las evidencias o a los hallazgos 4.9. Determinación de conclusiones
de la auditoría. Las cuestiones para las que no de la auditoría
haya acuerdo deberían registrarse en el infor- 4.9.1. Preparación para la reunión de cierre
me de auditoría. Por otra parte, el equipo audi- Para la preparación de esta reunión de cie-
tor debería reunirse, según sea necesario, para rre, el equipo auditor debería, de acuerdo a la
revisar los hallazgos de la auditoría en etapas complejidad de los hallazgos, convocar reunio-
apropiadas durante la auditoría (P. 30). nes previas para recabar información suficien-
te para determinar las observaciones que irán
De acuerdo a la redacción de hallazgos, en en el informe definitivo; acordar con el equipo
el manual de auditorías internas que se en- auditor cuáles serán las conclusiones de au-
cuentra en la página del Modelo Integrado de ditoría teniendo en cuenta la incertidumbre
Planeación y Gestión MIPG (Función Pública, del proceso de auditoría y proponer algunas
2018) se sugiere: recomendaciones para el mejoramiento de los
sistemas auditados, si esto fuera pertinente y
• Condición: La evidencia basada en hechos estuviera contemplado en el plan de auditoría.
que encontró el auditor interno (realidad)
• Criterios: Las normas, reglamentos o ex- 4.9.2. Contenido de las conclusiones de la
pectativas utilizadas al realizar la evalua- auditoría
ción (lo que debe ser) En la GTC ISO 19011 (2018) se plantea que
• Causa: Las razones subyacentes de la bre- las conclusiones de la auditoría deberían tratar
cha entre la condición esperada y la real, aspectos tales como los siguientes:
que generan condiciones adversas (qué
originó la diferencia encontrada) a. El grado de conformidad con los criterios
• Consecuencias o efectos: Los efectos ad- de auditoría y la robustez del sistema de
versos, reales o potenciales, de la brecha gestión, incluyendo la eficacia del siste-
entre la condición existente y los criterios, ma de gestión para cumplir los resultados
36
previstos, la identificación de riesgos y la Esta reunión debe centrarse no solo en pre-

eficacia de las acciones tomadas por el au- sentar los resultados y observaciones del
ditado para tratar los riesgos trabajo, presentar hechos que constituyen
b. La implementación, el mantenimiento y la fortalezas y oportunidades de mejora, como
mejora eficaces del sistema de gestión presentar hechos que constituyen exposicio-
c. El logro de los objetivos de la auditoría, co- nes los riesgos relevantes; sino también deter-
bertura del alcance de la misma y cumpli- minar plazos para el levantamiento de los pla-
miento de los criterios del proceso nes de mejoramiento correspondientes. Toda
d. Hallazgos similares encontrados en dis- la información de la reunión se debe formalizar
tintas áreas auditadas o en una auditoría mediante la elaboración de un acta.
conjunta o en una auditoría previa, con el
propósito de identificar tendencias Adicionalmente la GTC ISO 19011 (2018) su-
giere que debería explicarse al auditado lo si-
Si se especifica en el plan de auditoría, las guiente:
conclusiones de auditoría pueden llevar a re-
comendaciones para la mejora, o a futuras ac- a) Aclarar que la evidencia de la auditoría
tividades de auditoría (P. 31). recopilada se basó en una muestra de la
información disponible y no es necesaria-
4.10. Realización de la reunión de cierre mente representativa de la eficacia global
Al terminar las tareas de auditoría y posterior de los procesos del auditado
a haber analizado todas las evidencias que so- b) El método de presentación de la información
portan los hallazgos de auditoría, el equipo de c) La manera en que debían tratarse los ha-
auditores debe convocar a una reunión a los res- llazgos de auditoría basándose en el pro-
ponsables de las funciones o procesos que se ceso acordado
han auditado; al cliente de la auditoría; a otros d) Las posibles consecuencias de no tratar
miembros del equipo auditor y a otras partes adecuadamente los hallazgos de auditoría
interesadas pertinentes, según lo determinen el
cliente de la auditoría y/o el auditado.
37
e) La presentación de los hallazgos y conclusiones de la auditoría de tal manera que se compren-

dan y se reconozcan por la dirección del auditado
f) Todas las actividades posteriores a la auditoría relacionadas (por ejemplo, implementación y revisión
de acciones correctivas, tratamiento de quejas de la auditoría, proceso de apelación) (P. 32).
38
Preparación y distribución del informe de auditoría

Tema 5
5.1. Preparación del informe de audotoría

Según la GTC ISO 19011:2018, el informe final de auditoría preparado y presentado por el equipo,
debe incluir mínimo la siguiente información: auditor debe incluir mínimo la siguiente información:
a) Objetivos f) Criterios
b) Alcance, particularmente la identificación g) Los hallazgos de auditoría y las evidencias
de la organización (el auditado) y de las relacionadas
funciones o procesos auditados h) Conclusiones
c) La identificación del cliente i) Una declaración del grado en el que se
d) La identificación del equipo auditor y de han cumplido los criterios
los participantes j) Las opiniones divergentes sin resolver en-
e) Las fechas y ubicaciones donde se realiza- tre el equipo auditor y el auditado
ron las actividades de auditoría
39
k) Las auditorías, por naturaleza, son un ejerci- 5.2. Distribución del informe de au-
cio de muestreo; como tales, hay un riesgo ditoría
de que las evidencias de la auditoría exami- El informe de auditoría debe presentarse en las
nadas no sean representativas (P. 32) fechas acordadas entre el equipo auditor y el
cliente, debe distribuirse y presentarse de acuer-
En el informe también debe hacer referencia al do a las pruebas y obtención de evidencias.
plan de auditoría, incluyendo los horarios em-
pleados, como un resumen del proceso realiza- El formato y el contenido de la información
do, incluyendo cualquier dificultad u obstáculo final del trabajo varía dependiendo de la en-
encontrado que pueda afectar la confiabilidad tidad o al tipo de trabajo que desempeña y
de los resultados. debe contener como mínimo propósito, alcan-
ce y resultados del trabajo (hallazgos y reco-
Igualmente, en la redacción del informe debe mendaciones).
confirmarse el cumplimiento de los objetivos
planteados en el plan de auditoría inicial, cual- Estas conclusiones deberían contener antece-
quier área no cubierta dentro de lo permitido, dentes y resúmenes que cambian de acuerdo
además de reportar las cuestiones que pudie- al tipo de entidad o el tipo de trabajo y reco-
ran interferir en la obtención de las evidencias, mendaciones finales para el mejoramiento.
en la disponibilidad de los recursos y logística.
Se espera que el contenido del documento de Como parte de la caja de herramientas encon-
informe final incluya un resumen que presen- trada en la página www.funcionpublica.org se
te las conclusiones y hallazgos más relevantes podrá consultar el formato sugerido de Mode-
durante el proceso, buenas prácticas eviden- lo Informe Definitivo de Auditoria, el formato
ciadas, el seguimiento del plan de acción ini- Plan de Mejoramiento por Procesos, y el For-
cialmente pactado, una declaración de confi- mato Seguimiento al Plan de Mejoramiento.
dencialidad para el manejo de la información
y los contenidos y cualquier implicación para
el programa o las auditorías posteriores. (GTC
ISO 19011:2018, P. 29).
40
Finalización de la auditoría
Tema 6
La auditoría finaliza cuando se hayan realizado las actividades planificadas o si se ha acordado de

otro modo con el cliente (por ejemplo, podría haber una situación inesperada que impida que la
auditoría se finalice de acuerdo con el plan inicial).
La información documentada perteneciente a la auditoría debería conservarse o disponerse de

común acuerdo entre las partes participantes y de acuerdo con el programa de auditoría y los
requisitos aplicables.
Salvo que se requiera por ley, el equipo auditor y las personas responsables de gestionar el progra-
ma de auditoría no deberían revelar ninguna información obtenida durante el proceso ni el informe
final a alguna otra parte sin la aprobación explicita del cliente y, cuando sea apropiado, la del audi-
tado. Si se requiere revelar el contenido de un documento, la auditoría y el auditado deberían ser
informados tan pronto como sea posible.
Las lecciones aprendidas de la auditoría pueden identificar los riesgos y oportunidades para el progra-
ma de auditoría y para el auditado.
41
Realización de actividades de
Tema 7
seguimiento de la auditoría
Los resultados de la auditoría pueden, depen- El auditor interno debe establecer un proceso
diendo de los objetivos, indicar la necesidad de seguimiento y poder verificar la implemen-
de correcciones, o de acciones correctivas tación de acciones previstas en los planes de
u otras oportunidades para la mejora. Tales mejoramiento y dar cierre cuando se hayan
acciones generalmente son decididas y em- cumplido, analizando la efectividad de dichas
prendidas por el auditado en un intervalo de acciones para superar los hallazgos.
tiempo acordado. Cuando sea apropiado, el
auditado debería mantener informadas a las El MIPG (Función Pública, 2018) promueve
personas responsables de la gestión del pro- mecanismos y brinda herramientas estandari-
grama y/o el equipo auditor sobre el estado de zadas para realizar estos seguimientos desde
estas acciones. la actividad de auditoría interna, buscando que
42
dicho proceso retroalimente a las entidades no objetivos y prioridades de la entidad (Función

solo en el mantenimiento de controles efecti- Pública, 2018).
vos, sino procurando la mejora continua de la
eficacia y eficiencia de las organizaciones. A continuación, en la Figura 11 se observan los
principales aspectos a tener en cuenta para rea-
Desde los estándares internacionales dados lizar la autoevaluación del programa de asegura-
por el Instituto de Auditores Internos Global miento y mejora de la calidad, desde la perspec-
(THE IIA Global) se recomienda que los direc- tiva de la autoevaluación a nivel de auditoría, la
tores ejecutivos de la oficina de Control Inter- autoevaluación a nivel general de la actividad u
no planeen y lleven a cabo un plan de audito- organización y perspectiva externa.
ría anual, seleccionando proyectos, procesos
y actividades para auditar, basados en el en-
foque de riesgos documentado, alineados con
43
Autoevaluación a
Autoevaluación a nivel general de la Perspectiva
nivel de auditoria actividad u organización Externa
¿La planeación de la audito- Se documentan las políticas Evaluación externa inde-

ría fue ejecutada debida- y procedimientos. pendiente de la actividad
mente? completa de auditoría
El proceso auditor cumple interna.
¿La planeación de la audito- con las normas internacio-
ría, trabajo de campo, ejecu- nales de auditoría. Su aplicación estaría
ción y comunicación de supeditada a la disposi-
resultados se ajustaron a las El proceso auditor se ajusta ción de recursos para su
normas? a las políticas y procedi- realización y a la compleji-
mientos. dad tanto de la Oficina de
¿Existe un seguimiento Control Interno como de
apropiado? La auditoría interna agrega la entidad.
valor y mejora las operacio-
¿Se realizaron encuestas nes de la organización.
posteriores a los auditados?
Los recursos para la audito-
ría interna se utilizan de
forma eficaz y eficiente.
Figura 11. Aspectos para la evaluación dentro del Programa de Aseguramiento y Mejora de la
Calidad (PAMC).
Fuente: Función Pública, 2018.
44
Glosario
Aseguramiento: la Ley 1122 de 2007 define el aseguramiento como la administración del riesgo
financiero, la gestión del riesgo en salud, la articulación de los servicios que garantice el acceso
efectivo, la garantía de la calidad en la prestación de los servicios de salud y la representación del
afiliado ante el prestador y los demás actores sin perjuicio de la autonomía del usuario. El artículo
157 de la Ley 100 de 1993 establece la obligatoriedad para todos los habitantes del territorio na-
cional de afiliarse al Sistema General de Seguridad Social en Salud (SGSSS), a través de tres formas:
Régimen contributivo, régimen subsidiado y participantes vinculados. (DNP. S.f)
Auditoría conjunta: auditoría llevada a cabo a un único auditado por dos o más organizaciones
auditadas.
Auditoría individual: proceso sistemático, independiente y documentado para obtener evidencias

objetivas y evaluarlas de manera objetiva con el fin de determinar el grado en que se cumplen los
criterios de auditoría.
Competencia global: nivel de conocimiento del equipo auditor para certificar competencias gene-
rales durante la ejecución de una auditoría en el sector público.
Confidencialidad: la confidencialidad es la garantía de que la información será protegida para que

no sea divulgada sin consentimiento de la persona. Dicha garantía se lleva a cabo por medio de un
grupo de reglas que limitan el acceso a ésta información. Cada individuo tiene derecho a proteger
su información personal y/o institucional. (INCMNSZ. S.f)
45
Control: mecanismos internos y externos de supervisión, notificación y vigilancia pertinente al

Direccionamiento Nacional de Planeación. (DNP. S.f)
Desempeño: es una palabra que deriva del latín, exactamente es fruto de la suma de tres compo-
nentes diferenciados de dicho idioma:
-El prefijo “des-”, que significa “de arriba hacia abajo”.

-El prefijo “in-”, que es sinónimo de “hacia dentro”.
-El sustantivo “pigno”, que puede traducirse como “prenda”.
Se define igualmente como el acto y la consecuencia de cumplir una obligación, realizar una activi-
dad, dedicarse a una tarea. Esta acción también puede vincularse a la representación de un papel.
Se conoce como evaluación del desempeño al proceso que se lleva a cabo para analizar si un in-
dividuo cumplió con los objetivos fijados. Este tipo de metodología se suele utilizar en los trabajos
para premiar a aquellos empleados que lograron alcanzar las metas y para corregir a quienes no
lograron un buen desempeño. (Definición. De. S.f)
Planificación: los esfuerzos que se realizan a fin de cumplir objetivos y hacer realidad diversos pro-
pósitos se enmarcan dentro de una planificación. Este proceso exige respetar una serie de pasos
que se fijan en un primer momento, para lo cual aquellos que elaboran una planificación emplean
diferentes herramientas y expresiones. Es un método que permite ejecutar planes de forma di-
recta, los cuales serán realizados y supervisados en función del planeamiento. (Definición. De. S.f)
Referencia: las referencias son datos propiciados por terceros que faciliten la información de un
lugar, persona o sobre una investigación realizada, el término referencia describe el proceso por
el cual se menciona o se señala (que es lo mismo decir “se refiere”). (conceptodefinicion. De. S.f)
46
Responsabilidad: es el cumplimiento de las obligaciones, o el cuidado al tomar decisiones o rea-

lizar algo. La responsabilidad es también el hecho de ser responsable de alguien o de algo. El
término se utiliza también para referirse a la obligación de responder ante un hecho. Procede del
latín responsum, del verbo respondere, que a su vez se forma con el prefijo re-, que alude a la
idea de repetición, de volver a atrás y el verbo spondere que significa "prometer", "obligarse" o
"comprometerse".
Roles: término que proviene del inglés role, que a su vez deriva del francés rôle. El concepto está vin-
culado a la función o papel que cumple alguien o algo.
Viabilidad: en términos empresariales hace referencia a la posibilidad de que un proyecto o nego-

cio pueda progresar, garantizado a largo plazo su rentabilidad económica. De una manera sencilla
se puede considerar el concepto viabilidad como la opción de que un proyecto se pueda llevar a
cabo, con una cierta continuidad en el tiempo. Para ello debe tenerse en cuenta los recursos que
precisa, los que tiene y la capacidad para obtenerlos. En el caso de que cuente con los suficientes
medios para ejecutar la idea empresarial, se podría decir que el proyecto es viable.
47
Referencias
conceptodefinición. DE. (s. f.). “Referencia”. Recuperado el 16 de abril de

2019, de: https://bit.ly/2Syzim4
Definición. DE. (s. f.). “Desempeño”. Recuperado el 16 de abril de 2019, de:

https://bit.ly/2JHp9hz
Departamento Administrativo de la Función Pública. (2018). Guía de Audi-

toría para entidades públicas, Versión 3. Recuperado de:
http://tiny.cc/onvy7y
Departamento Administrativo de la Función Pública. (2018). Marco Interna-

cional para la Práctica Profesional de la Auditoría Interna. Instituto de
Auditores Internos de Colombia. Actualizado a Enero de 2013. Recupe-
rado de: https://bit.ly/2VJaTMr
Departamento Nacional de Planeación (s. f.). “Aseguramiento” Recuperado

el 16 de abril de 2019, de: https://bit.ly/2HlSFaN
Departamento Nacional de Planeación (s. f.). “Control” . Recuperado el 16

de abril de 2019, de: https://bit.ly/30s3oYP
48
INCMNSZ (s. f.). “Confidencial” . Recuperado el 16 de abril de 2019, de:

https://bit.ly/2pX02Mt
Instituto Colombiano de Normas Técnicas y Certificación (ICONTEC). GT-

CISO 19011. (2018). Directrices para la Auditoría de Sistemas de Ges-
tión de la calidad y/o ambiental. Recuperado de: https://bit.ly/2EN43v9
Instituto de Auditores Internos – IIA GLOBAL. (2013). Marco Internacional

para la Práctica Profesional de la Auditoría Interna. p.154.
“Planificación” (s. f.). En: Definición.DE. Recuperado el 16 de abril de 2019,

de: Recuperado de: https://bit.ly/2J1Njol
49
Unidad Actividades de
didáctica Auditoría Interna
Subdirección de Proyección Institucional ESAP

Control Interno 4

Cargado por

Información del documento

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

Control Interno 4

Cargado por

Copyright:

Formatos disponibles

Unidad Actividades de

didáctica Auditoría Interna

Subdirección de Proyección Institucional ESAP

Escuela Superior de Administración Pública Actividades de

Pedro Eugenio Medellín Torres Autor

Fernando Guzmán Rodríguez Corrección de estilo, acompañamiento

Ruby Maritza Gerena Useche Fecha última versión

Tema 1: Generalidades sobre la realización de una auditoría. . . . . . . . . 8

Tema 2: Inicio de la auditoría.. . . . . . . . . . . . . . . . . . . . . . . . . . . . . 10

Tema 3: Preparación de las actividades de auditoría.. . . . . . . . . . . . . . 15

Tema 4: Realización de las actividades de auditoría. . . . . . . . . . . . . . . 26

4.6. Revisión de la información documentada durante la auditoría. . . . . . . . . . . . . 31

Tema 5: Preparación y distribución del informe de auditoría. . . . . . . . . 39

Tema 6: Finalización de la auditoría. . . . . . . . . . . . . . . . . . . . . . . . . 41

Tema 7: Realización de actividades de seguimiento de la auditoría. . . . . 42

Comprender la estructura y funcionalidad de las fases de planificación y

La unidad se desarrolla siguiendo el hilo conductor que presenta el Capí-

su tercera versión y que desde la publicación de las dos primeras ediciones

Se presentan orientaciones desde la GTC ISO19011 (2018), complemen-

Después de conocer la gestión de un programa de auditoría interna en la unidad anterior, durante

Planiﬁcar Hacer Veriﬁcar Actuar

5.3. Determinación y 5.7. Revisión y

5.4. Establecimiento 5.5. Implementación 5.6. Seguimiento del

6.3. Preparación de 6.4. Realización de las 6.7. Realización de las

6.5. Preparación y 6.6. Finalización

Planiﬁcar Hacer Veriﬁcar Actuar

6.3. Preparación de 6.4. Realización de las 6.7. Realización de las

6.5. Preparación y 6.6. Finalización

Planiﬁcar Hacer Veriﬁcar Actuar

Figura 2. Diagrama de flujo de la realización de una auditoría.

2.1. Establecimiento del contacto c. Proporcionar información pertinente so-

Según la Guía de Auditoría Para Entidades Pú-

Los registros físicos y electrónicos que soportan

Procedimientos relacionados con el

Mapa de riesgos del proceso

Figura 3. Documentos que deberían revisarse. - Fuente: Elaboración propia

2.2. Determinación de la viabilidad de la auditoría

Establecer contacto con el auditado

Determinar la viabilidad de la auditoría

Figura 4. Inicio de la auditoría. - Fuente: Elaboración propia.

Preparación de las actividades de auditoría

Realizar la revisión de la Enfoque basado en riegos

Figura 5. Pasos para la preparación de las actividades de una auditoría.

3.1. Revisión de la información do- gral de “la extensión de la información docu-

En su conjunto, los objetivos, criterios y alcan-

• Son los propósitos • Marco o límite de la • Técnicas de auditoría • Se relaciona en el

Proporciona aseguramiento en relación con el logro de uno o más objetivos

Proporcionar aseguramiento en relación con el diseño y la operación de las

Tecnología de la Proporcionar aseguramiento en relación con el diseño y la operación de las

Proporcionar aseguramiento en relación con el diseño y la operación de las

Proporcionar aseguramiento en relación con la eficacia y eficiencia de las

Proporcionar aseguramiento en relación con cualquier combinación de los

Figura 7. Tipos de trabajos de auditoría.

• Se realizan preguntas al personal del proceso auditado o a terceros y obtener sus

• Se observan a las personas, los procedimientos o los procesos.

• Se estudian documentos y registros y en examinar físicamente los recursos tangibles.

Revisión de Se realiza específicamente para probar la validez de la información documentada o

Se realiza específicamente para probar la integridad de la información documentada

Se utilizan para identificar anomalías en la información tales como fluctuaciones,

Consiste en la obtención de verificación directa o por escrito de la exactitud de la

Figura 8. Procedimientos de auditoría.

3.2.1. Enfoque basado en riesgos para la La identificación, evaluación y control de los

h) La asignación de los recursos apropiados • La coordinación con otras actividades de

3.3. Asignación de las tareas al equipo auditor