Traducido del inglés al español - www.onlinedoctranslator.

com

CONTROL INTERNOY LA TRANSFORMACIÓN DE ENTIDADES

 Acerca de ACCA
ACCA (Association of Chartered Certified Accountants) es el organismo mundial de contadores profesionales.

Somos una comunidad próspera de 233 000 miembros y 536 000 futuros miembros con sede en 178 países y regiones, que
trabajan en una amplia gama de sectores e industrias. Defendemos los más altos valores profesionales y éticos.

Ofrecemos a todos en todas partes la oportunidad de experimentar una carrera gratificante en contabilidad, finanzas y administración.
Nuestras calificaciones y oportunidades de aprendizaje desarrollan líderes comerciales estratégicos, profesionales con visión de futuro,
con la experiencia financiera, comercial y digital esencial para la creación de organizaciones sostenibles y sociedades prósperas.

Desde 1904, ser una fuerza para el bien público ha sido parte integrante de nuestro propósito. En diciembre de 2020, asumimos compromisos con
los Objetivos de Desarrollo Sostenible de la ONU, que estamos midiendo y sobre los que informaremos en nuestro informe integrado anual.
Creemos que la contabilidad es una profesión fundamental de la sociedad y es vital para ayudar a las economías, las organizaciones y las personas
a crecer y prosperar. Lo hace mediante la creación de una sólida gestión financiera y comercial confiable, la lucha contra la corrupción, la garantía
de que las organizaciones se administren de manera ética, el impulso de la sostenibilidad y la provisión de oportunidades profesionales
gratificantes.

Y a través de investigaciones de vanguardia, lideramos la profesión respondiendo las preguntas de hoy y preparándonos para el futuro.
Somos una organización sin fines de lucro.

Descubre más sobre nosotros enwww.accaglobal.com

Acerca de la Fundación de Auditoría Interna

y el Instituto de Auditores Internos
La Fundación de Auditoría Interna es un recurso global esencial para el avance de la profesión de auditoría interna.

La investigación financiada por la fundación brinda a los profesionales de auditoría interna y a sus partes interesadas información sobre temas
emergentes y promueve y promueve el valor de la profesión de auditoría interna a nivel mundial. Además, a través de su Fondo Académico, la
Fundación apoya el futuro de la profesión al otorgar subvenciones a estudiantes y educadores que participan en el Programa de Asociación para la
Educación en Auditoría Interna del Instituto de Auditores Internos.

Para más información visitewww.theiia.org/Fundación

El Instituto de Auditores Internos (IIA) es el defensor, educador y proveedor de estándares, orientación y
certificaciones más reconocido de la profesión de auditoría interna. Establecido en 1941, el IIA sirve hoy a más de
210.000 miembros de más de 170 países y territorios.

Para más información visitewww.theiia.org

Acerca del Instituto IMA® de Contadores

Administrativos
IMA® es una de las asociaciones más grandes y respetadas enfocada exclusivamente en el avance de la
profesión de contabilidad gerencial.

A nivel mundial, IMA apoya la profesión a través de la investigación, los programas CMA® (Contador de gestión certificado) y
CSCA® (Certificado en estrategia y análisis competitivo), educación continua, creación de redes y defensa de las prácticas
comerciales éticas más altas. Dos veces nombrada Organización Profesional del Año por The Accountant/International
Accounting Bulletin, IMA tiene una red global de aproximadamente 140,000 miembros en 150 países y 350 capítulos
profesionales y estudiantiles. Con sede en Montvale, NJ, EE. UU., IMA brinda servicios localizados a través de sus cuatro
regiones globales: América, Asia/Pacífico, Europa y Medio Oriente/India.

Para obtener más información acerca de IMA, visitewww.imanet.org

Copyright © julio de 2022 por la Asociación de Contadores Certificados Colegiados (ACCA), la Fundación de Auditoría Interna (IAF) y el Instituto de Contadores de Gestión
(IMA).

Reservados todos los derechos. Usado con permiso de ACCA, IAF e IMA. Comuníquese con insights@accaglobal.com para obtener permiso para reproducir, almacenar o transmitir, o para hacer otros usos
similares de este documento.
EL CONTROL INTERNO Y LA
TRANSFORMACIÓN DE LAS ENTIDADES
El control interno es uno de los conceptos fundamentales utilizados por las entidades para
lograr objetivos importantes, mejorar el desempeño y construir reputación, especialmente
en tiempos disruptivos e inciertos. El control interno forma una parte central de las
actividades de los profesionales de contabilidad, finanzas y auditoría interna, ayudándolos
a garantizar que las entidades operen de manera efectiva. Sin embargo, la naturaleza del
modelo de negocio está cambiando para muchos. La transformación, incluida la adopción
de habilitadores digitales, está cambiando la forma en que se llevan a cabo los procesos. La
respuesta rápida a los factores económicos y de clientes cambiantes es una realidad. En
este informe, exploramos estas y otras tendencias emergentes, su impacto en el control
interno y la necesidad de que los controles internos sean ágiles y estén preparados para el
futuro para respaldar la transformación y el crecimiento del negocio.

La investigación se basa en una serie de mesas redondas y entrevistas con más de 80

profesionales de finanzas y auditoría interna de una variedad de entidades en todo el
mundo. Los comentarios de las mesas redondas se anonimizan; sin embargo, la ubicación
geográfica a menudo se cita para ayudar a los lectores a identificar comentarios donde las
diferencias en las regulaciones o normas culturales pueden variar debido a la ubicación.
Las mesas redondas fueron respaldadas por una encuesta de miembros de ACCA, IIA e
IMA, que recibió más de 1950 respuestas (en el Apéndice se puede encontrar una
descripción general de la demografía de la encuesta).
Prefacio

El control interno efectivo es uno de los facilitadores esenciales para que las entidades crezcan
con confianza e integridad en un mundo de múltiples partes interesadas lleno de volatilidad,
incertidumbre, disrupción y complejidad. El control interno va más allá de los requisitos legales
de cumplimiento; ayuda a las entidades a generar confianza y una reputación positiva para
lograr resultados comerciales estratégicos.

Los profesionales de la contabilidad, las finanzas y la auditoría interna, cualquiera que sea su función, son actores
fundamentales, junto con otros, en los marcos de control de sus entidades. En el entorno de rápida evolución actual, las
entidades se enfrentan a muchos desafíos. Necesitan transformarse continua y rápidamente para garantizar que aborden un
entorno operativo que es cada vez más complejo. Las entidades utilizan cada vez más la tecnología y los datos. Los
conocimientos basados en datos son esenciales para permitir que la gerencia reaccione rápidamente y tome decisiones en
un horizonte cada vez más amplio. Las partes interesadas buscan divulgaciones que cubran no solo los objetivos financieros,
sino también aquellas que aborden áreas no financieras, como acciones en relación con el cambio climático y el capital
humano. Estos cambios ponen en juego un alcance más amplio de las actividades comerciales que requieren un control
interno eficaz. Las partes interesadas buscan confianza más allá de los informes financieros, por ejemplo, a través de
divulgaciones ambientales, sociales y relacionadas con la gobernanza. Ahora se necesita la amplitud y profundidad de los
conjuntos de habilidades necesarios para adoptar el control interno en este conjunto más amplio de objetivos.

Un control interno eficaz requiere una combinación adecuada de personas, procesos, tecnología y datos respaldados por un
compromiso inquebrantable con la confianza y la ética. Para los profesionales de contabilidad, finanzas y auditoría interna es
importante tener una apreciación detallada de las oportunidades que la tecnología puede presentar; cómo estos se traducen
en procesos promulgados y las formas optimizadas de trabajo. A través de las cualificaciones profesionales y el aprendizaje
continuo, estos profesionales deben asegurarse de que pueden mantener la relevancia, lo que les permite guiar a los
responsables de la toma de decisiones para abordar los requisitos de control y gobernanza cada vez más amplios. De esta
manera, los profesionales de contabilidad, finanzas y auditoría interna están preparados y capacitados para guiar a sus
entidades y a los grupos de interés hacia una nueva era para el control interno.

Helen marca OBE Anthony J. Pugliese, jeffrey thomson,

Director Ejecutivo, ACCA CIA, CPA, CGMA, CITP CMA, CSCA, CAE
Presidente del IAI y Director Ejecutivo y
Director Ejecutivo, Junta de Presidente, Instituto de
Síndicos de la Fundación de Contadores Gerenciales
Auditoría Interna

4
Contenido

Resumen ejecutivo 6

Resumen de acciones clave 9

1. Finalidad del control interno 13

1.1 Orígenes del control interno 13
1.2 Percepciones de su propósito 15
1.3 El modelo de las tres líneas dieciséis

2. Desafíos y oportunidades actuales 19

2.1 Impacto de la transformación 19
2.2 Adopción de tecnología 24
2.3 Flujos de datos, big data y monitorización continua 25
2.4 Formas de trabajo en evolución 26
2.5 Información no financiera 27

3. Evolucionar nuestro pensamiento 29

3.1 Trazando un camino a seguir 29
3.2 Evolución de la tecnología y los datos 29
3.3 La entidad ágil 31
3.4 Consideraciones sobre información no financiera 33
3.5 Detalles de las implicaciones para el control interno 34
Alrededor o a través 34
Cambiando el ambiente de trabajo 35
Desarrollos para usuarios finales y el uso de soluciones Lo-code / No-code 35
Controles generales de TI 35
cadena de bloques 36
Aprendizaje automático e inteligencia artificial 36
3.6 Conjuntos de habilidades 36
3.7 Consideraciones sobre datos en tiempo real 38
3.8 Gobierno de datos: ¿una cuestión de control interno? 39
3.9 Una cuestión de estrategia y cultura 39
3.10 Implicaciones para los marcos de control interno 41

Conclusión 43

Glosario 44

Apéndice–Datos demográficos de la encuesta 45

Agradecimientos 46

Referencias 47

5
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|RESUMEN EJECUTIVO
Ejecutivoresumen
Los controles internos son fundamentales para permitir que las entidades crezcan con confianza e
integridad. Desde los desafíos corporativos de la década de 1970, los reguladores se han centrado en
garantizar que se implementen los controles adecuados en las entidades donde existe un interés público
significativo. Esta combinación de requerimientos regulatorios e inversionistas genera la necesidad de
invertir en procesos y controles.
Los modelos operativos de muchas entidades han experimentado cambios
a medida que el enfoque ha pasado de la competencia basada en modelos
basados en la planificación de recursos empresariales (ERP) hechos a la
medida y personalizados a aquellos basados en el conocimiento y el
análisis del comportamiento del cliente. El mantra de 'cinco años en cinco
meses' ha reflejado la aceleración de la transformación de entidades
habilitada por la tecnología durante la pandemia, y se espera que esa
tendencia continúe acelerándose a medida que avanzan hacia un nuevo
conjunto de desafíos económicos.
¿Cómo se ha visto afectado el control interno por estos
cambios? ¿Deberían las entidades buscar reevaluar sus
marcos y aprovechar las oportunidades que ofrecen estas
transformaciones tecnológicas? Este es el enfoque de la
presente investigación.
Aproximadamente 1950 miembros de ACCA, el Instituto de Auditores
Internos (IIA) y el Instituto de Contadores Gerenciales (IMA)
respondieron a una encuesta y más de 80 participaron en una serie
de mesas redondas y entrevistas que se llevaron a cabo en todo el
mundo.
El propósito del control interno fue reforzado por estos contribuyentes
(como se explora en el Capítulo 1). Hubo una fuerte alineación con el
Modelo de tres líneas del IIA que demostró los roles de gobierno
interrelacionados de la junta, la gerencia y los auditores internos para
asegurar y lograr controles internos efectivos sobre los informes
financieros y, más recientemente, de sostenibilidad. Sin embargo, a
medida que las entidades emprenden sus viajes de transformación, se
destacó una escasez de habilidades clave entre quienes promulgan los
controles internos.
La transformación claramente está teniendo un impacto en los
controles internos. El capítulo 2 explora varios de estos temas. Ha
cambiado los modelos operativos de la mayoría de las entidades,
pero la naturaleza del impacto en el ambiente de control interno ha
sido variada, con claras diferencias regionales en el rango de
impactos positivos y negativos en las entidades. Lo que queda claro
de las respuestas de la encuesta es que los marcos y procesos de
control interno deben incorporarse desde el principio como parte de
las transformaciones comerciales o iniciativas estratégicas para lograr
un mayor crecimiento y valor para
6
múltiples partes interesadas. No se debe olvidar que la
transformación tiene cuatro aspectos: personas, procesos,
tecnología y datos. Este es el caso de la transformación del
control interno, y es importante no perder de vista todos estos
componentes en esta discusión.
La transformación es en sí misma transformadora. Ya no está
impulsado solo por proyectos a gran escala, sino que el uso de
soluciones basadas en la nube y otros enfoques significa que cada vez
más es un proceso iterativo y ágil. Los microservicios para abordar
oportunidades y desafíos inmediatos están a la orden del día. Como
resultado, los marcos de control deben flexibilizarse y cambiar. Sin
embargo, existe una renuencia aparente en relación con el nuevo
entorno comercial, por ejemplo, avanzar hacia un control interno y
una gestión de riesgos ágiles, un monitoreo continuo y en tiempo real,
y la digitalización y los controles automatizados (incluido el uso de
XBRL).
El Capítulo 3 explora estos desafíos y ofrece información y
observaciones sobre los próximos pasos potenciales para las
entidades. Existe la necesidad de garantizar que los marcos de control
interno y gestión de riesgos sean ágiles y adecuados para su propósito
en un entorno empresarial cuyo alcance se está ampliando cada vez
más (por ejemplo, la necesidad de gestionar y dar cuenta de los
problemas de sostenibilidad) con tecnologías en rápida evolución como
la computación en la nube. , inteligencia artificial, blockchain y minería
de procesos. La naturaleza del cambio rápido requiere un liderazgo
adaptable y ágil y un enfoque en el proyecto (consulte las secciones 3.2
y 3.3). El control interno debe ser parte integral de estos avances. La
aplicación de la tecnología también está evolucionando a medida que
las entidades adoptan la 'cuarta revolución industrial' y las tecnologías
conectadas. Esta transición tiene implicaciones para las habilidades y
los controles (ver sección 3.5).
Es un cambio no solo en la naturaleza del control, sino también un cambio
de una visión más estática a una que se enfoca más en los flujos de datos
casi en tiempo real, continuos y automatizados. También hay un
reconocimiento de objetivos compartidos, como los relacionados con la
gobernanza sobre la integridad de los datos y la alineación con una cultura
de riesgo dinámica que reacciona a los modelos operativos que evolucionan
rápidamente (sección 3.7). Es probable que las entidades que tengan éxito
sean aquellas que adopten el uso de datos, la innovación y la agilidad.
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|RESUMEN EJECUTIVO
La combinación de habilidades requerida para abordar el control
interno está cambiando y requiere una gama más amplia de
experiencia que tradicionalmente (como se discutió en la sección
3.6) en todas las funciones centradas en los controles internos (ver
sección 1.3). El control interno solo puede ser efectivo si quienes lo
ejercen tienen la combinación adecuada de habilidades, tanto a
nivel técnico como interpersonal. La dotación de recursos y la
composición de los equipos de segunda y tercera línea serán un
problema a medida que se expanda el alcance del control interno.
El propósito del control interno se analiza en la sección 1.2.
A medida que aumentan las demandas de divulgación de
información sobre aspectos ambientales, sociales y de gobernanza
(ESG) y otras agendas, también aumenta el nivel de seguridad
requerido en estas divulgaciones y entran en el ámbito del control
interno (sección 3.4). No obstante, en la actualidad, los datos son
menos sólidos que los de su contraparte financiera: provienen de
fuentes más variadas y, a menudo, están menos estructurados.
Para abordar esta preocupación, es necesario invertir tanto en los
datos como en las habilidades y, por lo tanto, como en muchos
aspectos del control interno, es necesario automatizar los
controles y reducir la duplicación; para abarcar los elementos de la
tecnología y mirar hacia adelante.
Cualquier parte de esta agenda requiere la provisión de orientación por
parte de los organismos pertinentes y una inversión en iniciativas de
educación continua por parte de entidades e individuos.
7
Observaciones clave
norte La evolución de la tecnología y el control significa que las brechas en
los conjuntos de habilidades de los involucrados en el control interno
son problemas importantes, especialmente en relación con la amplitud
de las habilidades en todas las líneas.
norte La tecnología seguirá avanzando y existe el
riesgo de que el control interno se vuelva ineficaz
si no adopta los cambios y los automatiza cuando
corresponda.
norte Si la información no financiera se va a incluir dentro
del alcance del control interno, entonces es necesario
comprender que:
norte los datos son menos sólidos y es necesario desarrollar
nuevos métodos de control
norte Las fuentes de estos datos son más variadas. La
norte incorporación de controles es esencial. Es necesario
norte abordar los niveles de experiencia.
norte Para adoptar todos estos impulsores, debe haber una
inversión en la tecnología y las habilidades de datos de los
encargados del control interno; debe haber una guía más
relevante que refleje los modelos operativos actuales, así
como oportunidades de aprendizaje adecuadas para apoyar
a quienes trabajan en todos los niveles.
El control interno y la transformación de entidades
Esta infografía proporciona un resumen de los resultados de la encuesta conjunta de control interno y entidades
transformadoras realizada en marzo de 2022.

Finalidad del control interno

¿Cuál vemos como el propósito del control interno en una entidad? Acciones clave
Detección de fraude,66% El control interno en las entidades transformadoras da lugar a las siguientes
100% actuaciones clave:
Mejorar la calidad de los datos, 80% Prevención del fraude,
54% 84% 1.Apreciar el avance de la tecnología y los datos junto con el
60%
impacto en el control interno.
40%
Proteccion DE 20% Minimización 2.Busque oportunidades para adoptar la tecnología a través de la
información,sesenta y cinco% de riesgos,88% automatización y el monitoreo continuo.
3.Apreciar la necesidad de incluir elementos no financieros en el control interno,
Adhesión a la legalidad Proteccion DE aceptando la necesidad de desarrollar nuevas habilidades y los desafíos de
requisitos,69% activos,77% los diferentes formatos de datos.
4.Desarrollar las competencias necesarias, tanto técnicas como interpersonales,
Cumplimiento de las normas,74% Promoción de la eficiencia,55% para poder implantar el control interno en la entidad transformadora.
5.Implementar actividades de desarrollo de habilidades enfocadas en el control a
través de la segunda y tercera línea.
Desafíos en el control interno
¿Cuáles vemos como los desafíos en materia de control interno en nuestras entidades?

Falta de personal debidamente capacitado,50% Se requiere un esfuerzo significativo

100%
¿Qué áreas consideramos que requieren un esfuerzo significativo después de la transformación?
falta de gobierno 80% no tener el
supervisión de la junta,26% 60% datos correctos,20% 70%
40% 60%
20%
50% 52%
falta de costo no tener acceso 40% 43%
efectividad de a los datos correctos,
36%
30% 35% 33% 34% 33%
cumplimiento,31% 22% 32%
26% 27%
20% 22%
Avances tecnológicos 19%
falta de ejecutivo comprometer lo existente
10%
énfasis,32% controles internos,41% 0%

o
s
b

d
o

-O eros

ic

to
xle os
ud
sg

o
we

ida
ón
tin

ern

y)
Rie

ier

en
n
fra

y)
otr

ctr
ció

xle
i
rke

bil
an nanc
io

mi
int
de

ele
nc

ma

an os (
Sit

nta
li
go

ría

io
ina

Ma

mp
-O
r

erc
i
s

nfo

es
sf
o

arb cier
rie

Co
Impacto de la transformación en la eficacia
dit

es

Cu
om
of

me
ai
el

Au
nd

e S an

c
el

rb
sn

or
cció

sd

qu es fin
(Sa

¿Qué vemos como el impacto de la transformación en la

Inf
me

gía
du
Re

olo
or

efectividad del control interno?

cn

r
Inf

o
Te

Inf

Pre-transformación Altamente ineficaz,6%2%2%

Actualmente 60%
Post-transformación

no sé, 40%
Ineficaz,
Cómo las tecnologías mejoran el control interno
4%2%9% 21%10%5% ¿En qué medida las siguientes tecnologías mejoran o mejoran
20%
significativamente los controles internos?
100%
No aplica, Satisfactorio,
3%2%7% 43%40%23% 80%
60%
60%
sesenta y cinco%

40% 49% 47%

35% 40% 36%
Muy efectivo,5%9%21% Eficaz,18%35%33% 20% 33% 33%
18%
0%
e
s

nc l
AI

ub

s
a

os
PI
co

d
lisi

tos
s

ato
ia
eli fici
n

rfi
ne

es
áti

eA

da
A/

ció
ná

la

oc
ed

de
Int arti
tom

Impacto de la transformación en el riesgo

cio
za

en
ge

to

pr
RP

ea

od

ien
sd
ati

au

do

de
lica

am
od
tom

si
Us

es
sa
aje

ría
áli

¿Qué vemos como el impacto de la transformación en los riesgos del

oc
ba
ap
es

Pr
Au

diz

ne
an
oc

Mi
ren

control interno?
Pr

Ap

50%
40%
30% Trabajo híbrido
29% ¿Cómo impactó el trabajo híbrido en la efectividad de los controles internos?
20% 26%
21%
10%
Aumentado significativamente 7%
7% 8%
0%
Significativamente Disminuido Se mantuvo Aumentó Significativamente
disminuido lo mismo aumentó Aumentó 24%

Se quedó igual 32%

Control interno y ASG

80%
Disminuido 20%
Aquellos que están de acuerdo o muy de acuerdo en
que necesitan aplicar su marco de control interno a los Sdisminuido significativamente 8%

informes no financieros y ESG: 0% 10% 20% 30% 40% 50%

8
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|RESUMEN DE ACCIONES CLAVE

Acciones clave
resumen
Este informe hace varias recomendaciones de
acciones a tomar para mejorar el control
interno. Se explican en el contexto de la
discusión detallada en el Capítulo 3 y se
recopilan en la siguiente tabla, que también los
compara con los factores que están impulsando
el cambio en el control interno para muchas
entidades (Figura ES1).

FIGURA ES1:Impulsores de cambio para el control interno

Estratégico

INTE RNAL
ESTAFA T ROL

tran sfor-
mamá
tion

Gente Proceso Tecnología Datos

9
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|RESUMEN DE ACCIONES CLAVE

Las acciones clave son las siguientes.

ACCIÓN CLAVE CONDUCTOR(ES) SECCIÓN

Considere las transiciones de tecnología y datos que las entidades han integrado en el
3.2
modelo operativo y las están reflejando en los controles internos.

Asegúrese de comprender la tecnología y los controladores de datos en el modelo operativo de la

3.2
entidad. Asegúrese de estar familiarizado con el uso de tecnologías emergentes.

Asigne el uso de tecnologías emergentes a los controles internos e identifique oportunidades para
3.2
aumentar la eficacia del control.

Apreciar que es cada vez más probable que los desarrollos del modelo operativo se lleven a cabo de
manera ágil y garantizar que los encargados del control interno en todos los niveles del modelo de tres 3.3
líneas estén preparados para participar adecuadamente.

Reconfigure el modelo de riesgo para reflejar las prácticas tecnológicas modificadas que surgen de la
adopción de aplicaciones basadas en la nube. Comprender la naturaleza diferente de la tecnología y de la 3.3
relación con el proveedor.

Apreciar las consideraciones de control interno que surgen del perfil de riesgo modificado en cualquier
escenario basado en la nube. Aprecie que los controles generales tradicionales de tecnología de la información 3.3
(ITGC) han cambiado.

Implemente una solución de GRC que aborde todos los elementos de riesgo y control interno en toda la
3.3
entidad.

Integre controles internos automatizados y basados en parámetros en aplicaciones basadas en la nube,

3.3
especialmente en el punto de inicio.

Trabajar para identificar las fuentes de datos relevantes para permitir que la entidad cumpla con los requisitos de las
3.4
revelaciones no financieras.

Desarrolle una estrategia para integrar los datos no financieros necesarios requeridos en el marco de
3.4
control interno y esté preparado para documentar según corresponda.

Póngase en contacto con los encargados del gobierno de datos para garantizar la alineación entre estos conjuntos de datos. 3.4

Reevaluar el enfoque de los controles automatizados dentro de la entidad. 3.5

Identifique las áreas donde se llevan a cabo controles manuales que pueden duplicar los controles automatizados y
3.5
elimínelas según corresponda.

10
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|RESUMEN DE ACCIONES CLAVE

ACCIÓN CLAVE CONDUCTOR(ES) SECCIÓN

Comprender el alcance de la informática del usuario final (incluidas las que están fuera de la definición
tradicional) y asegurarse de que todas las aplicaciones que se desarrollen y que formen parte de los 3.5
controles internos tengan aplicado el nivel adecuado de controles de desarrollo y prueba.

Aprecie que la transformación ágil requerirá cada vez más el uso de aplicaciones para desarrollar mejoras
en los procesos operativos que no están sujetos a los ciclos de vida de desarrollo de aplicaciones 3.5
tradicionales y garantizar que se aborden los riesgos consiguientes.

Evaluar el entorno de control general de TI en el contexto del modelo operativo actual,

identificando dónde se gestionan los controles a través de aplicaciones basadas en la nube en 3.5
lugar de locales y los cambios resultantes en los perfiles de riesgo.

Aprecie el papel que pueden desempeñar el aprendizaje automático (ML) y la inteligencia artificial (IA) en
3.5
el entorno de control.

Identificar los conjuntos de habilidades y los recursos necesarios para mantener la eficacia del control interno
en toda la entidad transformada, incluidas las habilidades necesarias para abordar los objetivos no financieros. 3.6
Desarrollar planes adecuados de gestión del talento.

Considere su propio nivel de tecnología y habilidades relacionadas con los datos en el contexto del control
3.6
interno e identifique oportunidades de desarrollo relevantes.

Aprecie que las habilidades deben actualizarse de forma continua, tanto en tecnología como en perspicacia para los
3.6
negocios y habilidades interpersonales. Asegúrese de que se implementen las iniciativas pertinentes.

Desarrolle y promulgue una estrategia para el monitoreo continuo que esté alineado con el volumen de
3.7
datos esperado.

Asegúrese de que haya un equilibrio adecuado entre los controles manuales y automatizados y trate de
3.7
evitar la redundancia y la duplicación de controles.

Asegurar una alineación entre el gobierno de datos y los objetivos de control interno de la entidad y
fortalecer los procedimientos que rigen la integridad y precisión de los datos financieros y no 3.8
financieros.

Reforzar la importancia de la gestión de riesgos y el control interno de forma continua en toda la

3.9
entidad.

Reforzar la necesidad de ser óptimo en el desarrollo e implementación de un marco de control interno,

3.9
especialmente porque está cada vez más habilitado por la tecnología.

Cuestione la suposición de que la 'computadora tiene razón' en todas las circunstancias al considerar los
3.9
controles internos.

11
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|RESUMEN DE ACCIONES CLAVE

LA TRANSFORMACIÓN TIENE CUATRO ASPECTOS:

PERSONAS, PROCESO, TECNOLOGÍA Y DATOS. ESTO
ES CIERTO DE LA TRANSFORMACIÓN DEL CONTROL
INTERNO, Y ES IMPORTANTE NO PERDER DE VISTA
TODOS ESTOS
COMPONENTES EN ESTA DISCUSIÓN.

12
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|1. FINALIDAD DEL CONTROL INTERNO

1. Propósito de
control interno
'MANTENER LOS CONTROLES INTERNOS EFECTIVOS DESDE UNA PERSPECTIVA
OPERATIVA Y DE DISEÑO EN ESTE MUNDO QUE CAMBIA RÁPIDAMENTE, CON
[ENFOQUES] ÁGILES SIENDO CENTRALES PARA LA TRANSFORMACIÓN QUE LAS
ENTIDADES DEBEN IMPLEMENTAR, PRESENTA UN GRAN DESAFÍO EN LOS
ENTORNOS DE CONTROL INTERNO PARA SER RELEVANTES Y SER
MONITORIZADORES LOS RIESGOS CLAVE DE FORMA CONTINUA'.
PARTICIPANTE DE LA MESA REDONDA DE TÜRKIYE

1.1 Orígenes del control interno marco, que se actualizó en 2013. Un resumen del marco COSO
El término "control interno" fue definido por primera vez por el se muestra en el modelo a continuación (Figura 1.1).
Instituto Estadounidense de Contadores (ahora el Instituto
Estadounidense de Contadores Públicos Certificados) en 1949. El
FIGURA 1.1:Marco COSO
Instituto perfeccionó aún más esta definición en 1958 y 1972
(Lauren 2017). La definición ofrecida fue:

“El control interno comprende el plan de organización y todos los

métodos y medidas coordinados adoptados dentro de una
empresa para salvaguardar sus activos, verificar la exactitud y
confiabilidad de sus datos contables, promover la eficiencia
operativa y alentar el cumplimiento de las políticas gerenciales
prescritas”(citado en Heier et al. 2005).

Una serie de desafíos corporativos en la década de 1970 llevó a la

Comisión de Bolsa y Valores de los EE. UU. (SEC) y al Congreso de los
EE. UU. a promulgar la Ley de Prácticas Corruptas en el Extranjero en
1977. Como respuesta a esto, varias entidades en los EE. UU., incluidos
el IIA e IMA, trabajaron juntos bajo la presidencia de James C.
Treadway, Jr., entonces vicepresidente ejecutivo y consejero general de
Paine Webber y ex comisionado de la SEC de EE. UU., para desarrollar
Fuente: COSO (2013)
un marco para el control interno. El Comité de Organizaciones
Patrocinadoras de la Comisión Treadway (comúnmente conocido como La revisión de 2013 del marco proporciona la siguiente
COSO) desarrolló su definición actualizada.

El control interno es un proceso, llevado a cabo por la junta directiva, la gerencia y otro personal de una entidad, diseñado para brindar una seguridad
razonable con respecto al logro de los objetivos relacionados con las operaciones, la presentación de informes y el cumplimiento.

Esta definición refleja ciertos conceptos fundamentales. El control interno es:

norte Orientado a la consecución de objetivosen una o más categorías: operaciones, informes y cumplimiento Un
norte procesoque consiste en tareas y actividades en curso: un medio para un fin, no un fin en sí mismo
norte Efectuado por personas–no solo sobre políticas, manuales de procedimientos, sistemas y formularios, sino sobre las personas y las
acciones que toman en todos los niveles de una organización para efectuar el control interno

norte Capaz de proporcionar una seguridad razonable–pero no seguridad absoluta, a la alta dirección y al consejo de administración de una
entidad

norte Adaptable a la estructura de la entidad–aplicación flexible para toda la entidad o una subsidiaria, división, unidad operativa o
proceso comercial en particular.
Fuente: COSO (2013)

13
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|1. FINALIDAD DEL CONTROL INTERNO
Como se señaló, el Marco Integrado de Control Interno COSO 2013
tiene cinco componentes (Entorno de control; Evaluación de
riesgos; Actividades de control; Información y comunicación; y
Monitoreo), siendo el último componente particularmente
importante para respaldar la agilidad, la puntualidad y la
automatización en un entorno que cambia y cambia rápidamente.
entorno empresarial disruptivo.
El marco COSO también tiene 17 principios (Figura 1.2).
Generalmente, para que los controles internos sean efectivos, estos
principios deben estar presentes, funcionando e integrados.
Al actualizar el marco histórico de control interno de
1992, el marco COSO 2013 se mejoró al expandir la
categoría de objetivos de informes financieros para
incluir otras formas importantes de informes, como
informes no financieros e internos (por ejemplo,
informes y análisis de sustentabilidad).
Otras jurisdicciones han desarrollado definiciones similares del
concepto. Por ejemplo, en el Reino Unido, laControl Interno:
Orientación para Directores sobre el Código Combinado(
conocido como Informe Turnbull, FRC 2005), publicado por primera
vez en 1999, definió el control interno y su alcance de la siguiente
manera:
FIGURA 1.2:El Control Interno COSO – Principios del Marco Integrado
CONTROL
AMBIENTE
EVALUACIÓN DE RIESGOS
ACTIVIDADES DE CONTROL
INFORMACIÓN &
COMUNICACIÓN
ACTIVIDADES DE MONITOREO
Fuente: COSO (2013)
'Las políticas, procesos, tareas, comportamientos y otros aspectos
de una organización que en conjunto:
norte 'Facilitar una operación eficaz al permitirle responder de manera
adecuada a los riesgos comerciales, operativos, financieros, de
cumplimiento y otros riesgos significativos para lograr sus
objetivos. Esto incluye salvaguardar los activos y garantizar que
se identifiquen y gestionen los pasivos.
norte 'Garantizar la calidad de los informes internos y externos,
lo que a su vez requiere el mantenimiento de registros y
procesos adecuados que generen un flujo de información
oportuna, relevante y confiable de fuentes internas y
externas.
norte 'Garantizar el cumplimiento de las leyes y reglamentos aplicables y
también de las políticas internas' (ICAEW 1999).
Es dentro de este contexto que este informe analiza el control
interno y cómo se ve afectado por varios cambios que enfrentan las
entidades. La intención de estos marcos y orientación sigue siendo
válida, pero el siguiente paso, más desafiante, es la implementación
práctica. El informe no busca comentar sobre ningún modelo en
contra de otro, sino que es independiente de los modelos mismos y
se enfoca en las experiencias de implementación de los
profesionales encuestados y entrevistados.
1. Demuestra compromiso con la integridad y los valores éticos
2. Ejerce la responsabilidad de fiscalización
3. Establece estructura, autoridad y responsabilidad
4. Demuestra compromiso con la competencia
5. Hace cumplir la rendición de cuentas
6. Especifica objetivos adecuados
7. Identifica y analiza el riesgo
8. Evalúa el riesgo de fraude
9. Identifica y analiza cambios significativos
10. Selecciona y desarrolla actividades de control
11. Selecciona y desarrolla controles generales sobre la tecnología
12. Se implementa a través de políticas y procedimientos
13. Utiliza información relevante
14. Se comunica internamente
15. Se comunica externamente
16. Realiza evaluaciones continuas y/o separadas
17. Evalúa y comunica deficiencias
14
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|1. FINALIDAD DEL CONTROL INTERNO

1.2 Percepciones de su propósito la información es confiable y precisa. Necesitamos asegurarnos de que

La investigación comenzó considerando lo que los estamos cumpliendo con los estándares contables, regulaciones,

encuestados percibían como el propósito del control interno políticas, etc. La tercera cosa es su confiabilidad en torno a los informes

en sus entidades (Figura 1.3). financieros. A partir de esos tres atributos se extienden los datos y la
tecnología, que están impulsando cambios regulatorios”.
Los encuestados vieron la prevención del fraude (84%) y la
minimización del riesgo (88%) como los principales factores que Se pidió a los encuestados que consideraran los desafíos

describen el propósito del control interno. La calidad de los datos fue que enfrenta su entidad con el control interno3

el factor con la clasificación más baja entre los que los encuestados (Figura 1.4). A nivel global, la falta de personal adecuadamente calificado

podían seleccionar (54 %), aunque la conexión entre el control interno se clasificó como el desafío más importante, con el 50% de los

y el gobierno de datos fue un tema que se planteó con frecuencia en encuestados seleccionando esto (los conjuntos de habilidades se analizan

las mesas redondas y es un tema al que se volverá más adelante en más detalladamente en la sección 3.6). Hubo contrastes en las respuestas

este artículo. este informe (ver apartado 3.8). Un análisis regional de por región, con el 42% de los encuestados en Europa Occidental

los resultados de la encuesta confirmó un patrón similar.2
Un participante de la mesa redonda de Australia describió el control interno
de la siguiente manera. 'Realmente cubre tres cosas en lo que a mí respecta.
Se trata de asegurarse de que, en primer lugar,
seleccionando este factor en contraste con el 56% en América del Norte y
el 58% en Asia-Pacífico, el 50% en África y el 54% en el Caribe. Los
conjuntos de habilidades, especialmente en el contexto de la tecnología y
la agenda ambiental, social y de gobernanza (ESG), también fueron
planteados por varios participantes de la mesa redonda.

FIGURA 1.3:En su opinión, ¿cuál de estos factores describe el propósito del control interno? Seleccione todos los que
correspondan (n = 1956)1
Detección de fraude,66%
100

Mejorar la calidad de los datos,54% 80 Prevención del fraude,84%

60

40

Protección de la información,sesenta y cinco%

20 Minimización de riesgos,88%

Cumplimiento de los requisitos legales,69% Protección de activos,77%

Cumplimiento de las normas,74% Promoción de la eficiencia,55%

FIGURA 1.4:¿Cuál de los siguientes desafíos en un marco de control interno enfrenta actualmente su entidad? Seleccione
todas las que correspondan. (n = 1956)
Falta de personal debidamente capacitado,50%
50

Ninguna de las anteriores,12% 40 No tener los datos correctos,20%

30

20

Otro,4% 10 No tener acceso a los datos correctos,22%

Los avances tecnológicos comprometen

Falta de supervisión de la junta de gobierno,26%
los controles internos existentes,41%

Falta de rentabilidad del cumplimiento,31% Falta de énfasis ejecutivo,32%

1 Todas las estadísticas utilizadas en este informe provienen de la encuesta ACCA/IIA/IMA Transformation of Internal Control, marzo de 2022, a menos que se indique lo
2 contrario. Varios análisis de resultados de encuestas seleccionados por ubicación o sector acompañan este informe en una serie de infografías.
3 Las definiciones de los términos clave utilizados en este informe se encuentran en el Glosario.

15
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|1. FINALIDAD DEL CONTROL INTERNO
Entre nuestros encuestados, el 41% consideró que los avances en
tecnología comprometen los controles internos. Esto fue muy
similar en todas las regiones. Teniendo en cuenta el impacto de la
tecnología y los datos en todas las entidades, este nivel no fue
sorprendente, aunque solo una pequeña proporción (20 %) afirmó
que no tenía los datos correctos y solo el 22 % consideró que no
tenía acceso a estos datos.
Los informes sobre la falta de supervisión de la junta directiva, citados
por el 26 % en general, mostraron alguna variación cuando se
consideran a nivel regional. En Europa occidental (20 %) y América del
Norte (17 %) hubo una mayor sensación de falta de supervisión que en
Oriente Medio (que registró un 37 %), el sur de Asia (30 %) y Asia-
Pacífico (33 %). . La variación puede deberse, en parte, a variaciones en
la cultura de control interno y gestión de riesgos entre ubicaciones (la
importancia de la cultura y su relación con el control interno se
considera, nuevamente, más adelante en este informe, en la sección
3.9).
Al comentar sobre la falta de personal adecuadamente capacitado, un
director ejecutivo de auditoría con sede en Europa explicó que "el mayor
desafío al que nos enfrentamos actualmente es que no hay [suficientes]
personas suficientemente capacitadas para mantenerse al día con los
cambios en la tecnología".
Un participante de la mesa redonda australiano explicó su percepción
de los desafíos como, 'a lo que muchas empresas se enfrentan ahora
es un desafío de auditoría en el que corremos el riesgo de automatizar
procesos ineficientes, porque esa es la forma en que siempre lo hemos
hecho. No estamos siguiendo el ritmo [con] el cambio'. Una debilidad
potencial con las transformaciones es simplemente automatizar un
proceso existente sin optimizar el proceso primero. La aplicación de la
tecnología por sí sola nunca puede, por sí misma, mejorar un proceso.
Se puede hacer una inferencia similar con respecto a la automatización
de los controles.
FIGURA 1.5:El modelo de tres líneas del IIA
Fuente: IIA 2020
4 La evolución del Modelo de las Tres Líneas se considera en Sheen (2020). ACCA proporcionó un comentario en Ashby et al (2019).
dieciséis
1.3 El modelo de las tres líneas
En 2008 – 2010, la Federación Europea de Asociaciones de Gestión
de Riesgos y la Confederación Europea de Institutos de
Contabilidad Interna publicaron un documento de posición de tres
líneas de defensa para mejorar la comprensión de la gobernanza,
la gestión de riesgos y el control aclarando roles y deberes. Esto
fue desarrollado como guía para la 8ª Directiva de la UE, art. 41 2b
4 . En 2020, el IIA perfeccionó 'Las tres líneas', que se puede
describir brevemente de la siguiente manera.
El Modelo de las Tres Líneas ayuda a las organizaciones a
identificar las estructuras y los procesos que mejor contribuyen al
logro de los objetivos y facilitan una gobernanza y una gestión de
riesgos sólidas. El modelo se aplica a todas las organizaciones y
está optimizado por:
norte Adoptar un enfoque basado en principios y adaptar
el modelo a los objetivos y circunstancias de la
organización.
norte Centrándose en la contribución de la gestión de riesgos a la
consecución de objetivos y la creación de valor, así como a
cuestiones de “defensa” y protección del valor.
norte Entender claramente los roles y responsabilidades
representados en el modelo y las relaciones entre
ellos.
norte Implementar medidas para garantizar que las actividades y los
objetivos estén alineados con los intereses prioritarios de las partes
interesadas.
Fuente: IIA (2020)
Las Tres Líneas están representadas en la siguiente figura
(Figura 1.5).
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|1. FINALIDAD DEL CONTROL INTERNO

Se pidió a los encuestados que clasificaran la eficacia de cada uno
de los actores clave con respecto a sus roles (Figura 1.6). Los
resultados muestran un patrón ampliamente consistente, con un
fuerte apoyo para cada uno de los elementos del modelo. A nivel
regional, hubo una amplia consistencia con los resultados
globales.
El modelo de las tres líneas no sugiere dar prioridad a una función
comercial sobre otra, pero, para dar una mejor idea de las áreas
en las que los encuestados comúnmente pusieron más énfasis,
también se les pidió que clasificaran las funciones comerciales en
orden de importancia para su entidad. en una escala de 1 a 5,
donde 1 representaba lo más importante y 5 lo menos (Cuadro
1.1).
Los resultados muestran que el cumplimiento de las leyes y los reglamentos
establecidos por ley es un requisito, sin embargo, hay un enfoque adicional en el
aumento de la integridad financiera. Los procedimientos de seguimiento
obtuvieron la puntuación más baja, pero aún así se consideraron relevantes.
Para muchos participantes de la mesa redonda y entrevistados, la
rentabilidad del control interno fue una consideración
importante. Que el control interno sea percibido por su liderazgo
como un costo en lugar de un beneficio, especialmente en
entornos regulados más levemente, creó muchos desafíos. Un
director financiero (CFO) con sede en los EE. UU. comentó que
educar a las personas sobre el propósito y los beneficios era
esencial y agregó que '¿esto debe suceder desde la tercera línea
de defensa? O de la segunda línea. Usted conoce la primera línea
en el negocio y necesita hacerles saber la importancia de hacer
esto y cómo hacerlo.'
Un auditor líder en la industria de servicios financieros comentó:
'El control tiende a ser la parte aburrida porque requiere mucho
tiempo, es oneroso y [la gente] quiere hacer otras cosas que son
menos invasivas para que puedan ser efectivas en su día. La
tecnología es una forma de permitirles superar eso'.

FIGURA 1.6:Teniendo en cuenta el modelo de tres líneas del Instituto de Auditoría Interna (2020), clasifique la
efectividad respectiva de cada línea con respecto a su función (n = 1,956)
Órgano rector administración Auditoría interna

40%

35%
35%
33% 33%
30% 31%
30%
25% 27%

20%
19%
15%
15%
dieciséis%

10%
10%
9%
8%
5%
2%
3% 3%
0%
1 – Altamente ineficaz 2 – Ineficaz 3 – Satisfactorio 4 – Efectivo 5 – Altamente efectivo

TABLA 1.1:Por favor clasifique los siguientes elementos de las Tres Líneas en orden de mayor a menor importancia para su
entidad, donde 1= el más importante; 5 = menos importante (n = 1956)

PUNTUACIÓN PROMEDIO DE RESPUESTA

Establecimiento de procedimientos de seguimiento 3.43

Garantizar el cumplimiento de las leyes y los reglamentos estatutarios 2.49

Aumentar la confiabilidad e integridad financiera 2.85

Ayudar a proteger los activos y reducir la posibilidad de fraude 3.06

Mejorar la eficiencia en las operaciones 3.11

17
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|1. FINALIDAD DEL CONTROL INTERNO

UN POTENCIAL
DEBILIDAD CON
TRANSFORMACIONES
ES SIMPLEMENTE A
AUTOMATIZAR UN
PROCESO EXISTENTE
SIN OPTIMIZAR
EL PROCESO PRIMERO.

18
Traducido del inglés al español - www.onlinedoctranslator.com

EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|2. RETOS Y OPORTUNIDADES ACTUALES

2. actualdesafíos
yoportunidades
'DEBEMOS SER CAPACES DE ENTENDER CUÁN INTENSIVOS DEBEN SER
NUESTROS CONTROLES. DEBEMOS CONSTRUIR EN MONITOREO Y ANÁLISIS
CONTINUOS. DEBEMOS AUTOMATIZAR LO MÁS POSIBLE'.
DIRECTOR EJECUTIVO DE AUDITORÍA PARTICIPANTE EN LA MESA REDONDA DEL CARIBE

2.1 Impacto de la transformación abordar rápidamente los desafíos actuales. El ciclo continuo de

Las entidades han experimentado una cantidad significativa de

interrupciones en los últimos dos años. La pandemia ha creado
muchos desafíos y, en muchos casos, ha obligado a realizar cambios
necesarios en los modelos de negocio. Hay muchas formas de ver la
transformación en entidades y ACCA (ACCA /
CA ANZ / Generation CFO 2021), IIA (IAF / Auditboard 2020) e IMA
(Jiles 2021) han explorado este tema en sus trabajos de
investigación. Estos informes enfatizan la naturaleza continua de
la transformación de las entidades y la necesidad de garantizar
que puedan beneficiarse de enfoques ágiles para
transformación abarca la aplicación de tecnología y enfoques
basados en datos, aceptando que ninguno puede ser el
principal impulsor de la transformación en sí.
El control interno, al igual que las propias entidades y sus objetivos de
transformación, está sujeto a una compleja red de impulsores de
cambio (Figura 2.1). Si bien cada uno de estos puede tener un impacto
sustantivo, en conjunto representan un período de turbulencia para la
mayoría de las entidades. Este es un momento en que los riesgos son
altos y la necesidad de que los controles sean efectivos es primordial.

FIGURA 2.1:Impulsores de cambio que pueden alterar el control interno

geopolítica Climatizado

Suministro Económico
cadena presiones

Regulación Datos

Consumidor Tecnología
patrones

19
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|2. RETOS Y OPORTUNIDADES ACTUALES

Este informe se ocupa del impacto de estas actividades de
transformación en los controles internos de las entidades. Como
punto de referencia, era importante comprender la amplitud de las
actividades de transformación en las entidades de los encuestados
(Figura 2.2).
En la mayoría de los casos, los encuestados tenían algún tipo de
actividad de transformación en marcha o planificada. Para casi una
cuarta parte de los encuestados, su viaje de transformación hacia la
contabilidad había comenzado cuatro o más años antes, mientras que
solo el 16 % no tenía ninguna actividad planificada o no sabía de
ninguna. Estos resultados subrayan el cambio que las entidades están
realizando para seguir siendo relevantes.
Cualquier transformación se compone de varios elementos:
personas, procesos, datos y tecnología. Las definiciones de control
interno reflejan una amplitud similar y, por lo tanto, es inevitable
que el entorno de control interno de una entidad sea modificado
por estas actividades de transformación.
Se preguntó a los encuestados cómo consideraban que el riesgo
de control interno puede haber cambiado debido a estas
actividades de transformación (Figura 2.3).
Los resultados muestran que el 36 % a nivel mundial afirmó que
la transformación había disminuido o disminuido
significativamente el riesgo de control interno en sus entidades,
aunque el 34 % afirmó que había aumentado o aumentado
significativamente el riesgo. Este equilibrio puede deberse en
parte a otros factores, como el nivel de comprensión de las
tecnologías implementadas y el impacto de los cambios en las
formas de trabajar y la eficacia de las actividades de gestión del
cambio. Las transformaciones son desafiantes. Tener una
alineación clara con los objetivos estratégicos de la entidad y
comunicar el cambio de manera efectiva son esenciales para
que cualquier actividad de este tipo tenga éxito. Tener en
cuenta el impacto de estas actividades en el entorno de control
puede ser un desafío.

FIGURA 2.2:Indique si se ha producido o está prevista una actividad de transformación en las siguientes áreas de
su entidad (n = 1.956)
hace más de 4 años hace 1 a 3 años En progreso / en curso Planeado dentro de los próximos 3 años Ninguna actividad planeada No aplica no sé

Contabilidad 23% 11% 41% 6% 9% 2% 8%

Cumplimiento 17% 11% 47% 6% 8% 2% 9%

comercio electrónico 8% 10% 27% 8% 14% 21% 12%

Informes financieros (distintos de Sarbanes-Oxley) dieciséis% 9% 36% 5% 13% 9% 12%

Informes financieros (Sarbanes-Oxley) 11% 5% 17% 4% 15% 37% 11%

Tecnologías de la información dieciséis% 11% 52% 8% 5% 2% 6%

Auditoría interna 18% 11% 35% 7% 15% 6% 8%

Marketing 12% 10% 33% 6% 12% 12 % 15%

Informes no financieros 12% 9% 35 % 9% dieciséis% 7% 12%

Reducción del riesgo de fraude 15% 12% 43% 6% 13% 3% 8%

Riesgo 14% 11% 47% 7% 10% 2% 9%

Sitio web 18% 14% 35% 6% 11% 5% 11%

0% 20% 40% 60% 80% 100%

FIGURA 2.3:En general, ¿el riesgo de control interno finalmente aumentó, disminuyó o se mantuvo casi igual debido a las
actividades de transformación? (n = 1833)

Aumentado significativamente 8%

Aumentó 26%

Se quedó igual 21%

Disminuido 29%

Disminuido significativamente 7%

no sé 6%

No aplica 3%

0% 5% 10% 15% 20% 25% 30%

20
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|2. RETOS Y OPORTUNIDADES ACTUALES

Un análisis de las diferencias entre el impacto final sobre el riesgo de
control interno de la transformación en diferentes regiones muestra
algunas variaciones (Figura 2.4).
La naturaleza de las variaciones puede deberse, en parte, a las diferentes
actitudes culturales hacia el control interno en cuanto a si se considera
principalmente una actividad impulsada por el cumplimiento o una
actividad impulsada por la eficacia. La naturaleza de las transformaciones
en sí mismas y la naturaleza diversa de los entornos comerciales también
serán factores contribuyentes.
Se pidió a los encuestados que consideraran la eficacia general del
control interno durante un proceso de transformación (Figura 2.5).
A partir de los resultados, se puede ver que los encuestados
informaron que hubo un cambio en la efectividad general
percibida del control interno debido a las actividades de
transformación que sus entidades habían emprendido. Si bien
esto puede anticiparse y, de hecho, un resultado que indique lo
contrario sería un resultado notable, los participantes de la mesa
redonda y los entrevistados reflexionaron sobre varios desafíos,
como se describe en la sección 3.5.

FIGURA 2.4:En general, ¿el riesgo de control interno finalmente aumentó, disminuyó o se mantuvo casi igual debido a las
actividades de transformación? Análisis por región (n = 1.833)
Riesgo neto disminuido Aumento del riesgo neto

60%

Asia del Sur

50%
África

Oriente Medio
40% Central y Oriental Europa caribe
Asia-Pacífico

Asia-Pacífico
Europa Oriental
Asia del Sur
Oriente Medio África
30% América del norte
Central y Oriental Europa
América del norte
caribe
Europa Oriental

20%

10%

0%
0 1 2 3 4 5 6 7 8 9

FIGURA 2.5:¿Cómo calificaría la efectividad general del marco de control interno en su entidad a lo largo del proceso
de transformación? (n = 1833)
Pre-transformación Actualmente Post-transformación

50%

43%
40%
40%

35%
33%
30%

23%
20% 21% 21%
18%

10%
10% 9% 9%
6% 3% 7%
2% 2% 5% 5% 2% 2%
4%
0%
Altamente ineficaz Ineficaz Satisfactorio Eficaz Muy efectivo No aplica no sé

21
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|2. RETOS Y OPORTUNIDADES ACTUALES

Un análisis más detallado de los resultados se centra en el cambio de Otra pregunta (Figura 2.6) pedía a los encuestados que
aquellos que dieron una respuesta en un escenario previo a la consideraran el alcance del esfuerzo requerido para mejorar los
transformación a la que dieron en uno posterior a la transformación controles internos debido a las actividades de transformación.
(Tabla 2.1). Como puede verse en la figura, en todas las áreas se requirió cierto
grado de esfuerzo. Por ejemplo, para la contabilidad, el 33 % de los
Los resultados de la encuesta sugerirían que la percepción general es
encuestados informó que se requería un esfuerzo significativo y
que las actividades de transformación tienen un beneficio positivo en el
otro 49 % consideró que se necesitaba algún esfuerzo. Marketing
entorno de control interno a medida que disminuye el número de
(19%) fue el área evaluada como la que requiere el menor esfuerzo
quienes las evalúan como altamente ineficaces debido a la actividad;
significativo.
mientras que aumenta el número de los que lo ven efectivo.

TABLA 2.1:Comparación de evaluaciones de eficacia antes y después de la transformación

(Para interpretar esta tabla, como un ejemplo, el 7% de los que calificaron su marco de control interno como altamente efectivo
pre-transformación no conocen su evaluación post-transformación; mientras que el 68 % de los que calificaron la
marco de control previo a la transformación 'altamente efectivo' le otorgó la misma calificación posterior a la transformación).

PRE-TRANSFORMACIÓN REASIGNADA A RATING POST-TRANSFORMACIÓN

Altamente ineficaz Ineficaz Satisfactorio Eficaz Muy efectivo

POST-TRANSFORMACIÓN

Altamente ineficaz 20% 2% 1% 1% 0%

Ineficaz 15% 14% 1% 1% 2%
Satisfactorio 24% 26% 32% 10% 8%
Eficaz 21% 36% 32% 51% 13%
Muy efectivo 8% 10% 23% 29% 68%
No aplica 7% 9% 4% 2% 2%
no sé 5% 3% 7% 6% 7%

FIGURA 2.6:¿Cuánto esfuerzo (tiempo y complejidad) fue necesario para actualizar los controles internos en respuesta a las
actividades de transformación en cada una de las siguientes áreas?
Esfuerzo significativo algo de esfuerzo Sin esfuerzo / sin necesidad de cambios No aplica no sé

Tecnologías de la información 52% 35% 5% 2% 6%

Riesgo 43% 46% 6% 1 % 4%

Cumplimiento 36% 50% 9% 1 % 4%

Reducción del riesgo de fraude 35% 49% 11% 1 % 4%

comercio electrónico 34% 43% 10% 4% 9%

Contabilidad 33% 49% 13% 1% 4%

Informes financieros (Sarbanes-Oxley) 33% 46% 12% 5% 4%

Auditoría interna 32% 52% 11% 2%3%

Informes financieros (distintos de Sarbanes-Oxley) 27% 45% 11% 12% 5%

Informes no financieros 26% 53% 12% 3% 6%

Sitio web 22% 46% 18% 5% 9%

Marketing 19% 50% 17% 6% 8%

0% 20% 40% 60% 80% 100%

Las respuestas para cada una de las subpreguntas fueron las siguientes (n=)

Contabilidad Cumplimiento comercio electrónico Informes financieros Informes financieros No- Reduciendo Información Interno Marketing Riesgo Sitio web
(Sarbanes-Oxley) (otro que financiero riesgo de fraude tecnología auditoría

Sarbanes–Oxley) reportando

1,469 1,469 874 638 1,206 1,089 1,352 1,551 1,237 1,071 1,410 1,310

22
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|2. RETOS Y OPORTUNIDADES ACTUALES

También se preguntó a los encuestados cuál era el alcance de los ¿Estamos pensando lo suficiente en mejorar los controles internos
desafíos en la actualización de sus controles internos (Figura 2.7). cada vez que hacemos una inversión en tecnología?'
Los encuestados informaron que cada una de las áreas sugeridas
fue un desafío. El 45 % de los encuestados informó que la falta de Un participante de la mesa redonda australiano comentó: 'Como

conocimientos técnicos era un desafío o un desafío extremo, auditores internos, debemos ser siempre conscientes, ya que los

mientras que el 41 % consideró que la falta de enfoque en el [tecnólogos] generalmente no piensan desde el punto de vista de los

control interno también era un problema. En el sur de Asia, el 57 % controles'.

de los encuestados y el 54 % en Oriente Medio consideraron que

la falta de conocimientos técnicos era un desafío, en comparación
con el 35 % en el Caribe, el 38 % en Europa occidental y el 40 % en
América del Norte.
Un líder de auditoría interna con sede en EE. UU. comentó: "Realmente
necesitamos mover la [conversación sobre] el control al principio:
[para] pensar en eso y asegurarnos de que se implemente cada vez
que haya un nuevo proceso o servicio".
Un director ejecutivo de auditoría de Sudáfrica comentó:
'tendemos a ver las inversiones en procesos comerciales y las
inversiones en control interno como dos cosas separadas
desde el punto de vista de la tecnología. No lo veo tan
separado como quizás solíamos verlo tradicionalmente. Es más
[una cuestión de] ¿cómo estás mejorando tu entorno de
procesos de negocio con tecnología y cómo funciona?
Operar en un mundo en constante cambio tiene otros impactos
que bien pueden afectar el entorno de control interno. El
modelo tradicional de planificación y previsión ha sido
cuestionado en muchas entidades. La capacidad de modelar
varios escenarios mediante el uso de datos de muchas fuentes
ha sido útil para los involucrados durante la pandemia.5
Clásicamente, los ciclos de informes mensuales han sido un área
con controles internos muy enfocados. Si bien se ha debatido
sobre la racionalización de algunos de estos procesos (ver
Krumwiede 2016), muchas de las actividades tradicionales
permanecen, aunque en una escala de tiempo más corta. Los
encuestados (Figura 2.8) indicaron que, debido a la pandemia, los
ciclos de informes mensuales han seguido cobrando más
relevancia.

FIGURA 2.7:¿En qué medida cada uno de los siguientes causó desafíos al actualizar sus controles internos como
resultado de la transformación? (n = 1836)
30% falta de interior
conocimiento de auditoría
28%
25% 26% falta de técnica
25% 25%
24%
23% conocimiento
20% 22% 22% 22%
21%
19% falta de inclusión
18% en el proyecto
15% dieciséis%
15%
dieciséis% dieciséis%

falta de interacción
13% 13%13%
10% 12%12% con el equipo del proyecto
11% 11%
10% 10%
Falta de enfoque en
5% el control interno.

0%
1 – Extremadamente desafiante 2 3 4 5 – Nada desafiante

FIGURA 2.8:Dado que muchas entidades buscan una toma de decisiones en tiempo real, ¿cómo consideraría la relevancia
de los ciclos de informes mensuales en comparación con 2019? (n = 1956)
40%

35%
30%

26%

20%
18%

10%
9%
3% 3% 6%

0%
Significativamente Disminuido Ningún cambio Aumentó Significativamente No aplica no sé
disminuido aumentó

5 En ACCA/PwC (2021) se incluye una consideración del impacto de la pandemia en la planificación y la previsión.

23
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|2. RETOS Y OPORTUNIDADES ACTUALES

Un análisis regional de las respuestas a esta pregunta reflejarse como una escasez de talento, ya que los individuos buscan
muestra variación al comparar la relevancia neta reevaluar sus expectativas de la vida. Con las presiones inflacionarias
aumentada y disminuida (Figura 2.9). también en aumento, aumentan los impulsores de la automatización
y la capacidad de las iniciativas de transformación para permitir esto
2.2 Adopción de tecnología es cada vez más importante.
Las actividades de transformación de una entidad tienen un impacto en las
En este contexto, se pidió a los encuestados que
finanzas de muchas maneras. La realidad de la transformación es que no es
evaluaran el impacto de una serie de tecnologías6sobre
una actividad a nivel departamental, es una actividad de toda la entidad que
los controles internos de sus entidades (Gráfico 2.10).
tiene impactos variables en diferentes áreas. Los desafíos posteriores a la
pandemia para las entidades en ciertas economías pueden

FIGURA 2.9:Dado que muchas entidades buscan una toma de decisiones en tiempo real, ¿cómo consideraría la relevancia
de los ciclos de informes mensuales en comparación con 2019? Análisis por región (n=1.956)
Disminución neta Aumento neto

80%

70% Oriente Medio

Asia del Sur

África caribe
60%

50% Asia-Pacífico

Central y Oriental Europa Europa Oriental

América del norte
40%

30%

20%
Central y Oriental Europa África
Asia-Pacífico Europa Oriental
América del norte
10% Oriente Medio
Asia del Sur caribe

0%
0 1 2 3 4 5 6 7 8 9

FIGURA 2.10:¿Cómo evaluaría el impacto de las siguientes tecnologías en los controles internos de su entidad? (n =
1956)
No aplica no sé 1 – Significativamente Deteriorado 2 – Deteriorado 3 – Sin impacto 4 – Mejorado 5 – Mejora significativa

Aplicaciones basadas en la nube 14% 9% 2% 4% 11% 40% 20%

análisis de datos 12% 8% 2%3% 10% 45% 20%

Automatización de procesos analíticos 22% 13% 1%3% 12% 36% 13%

Procesamiento de datos 24% 14% 1%4% 12% 33% 12%

RPA / AI 36% 12% 2%3% 13% 24% 11%

Uso de API 25% 18% 2% 3% 12% 30% 10%

Inteligencia artificial 35% 13% 2%3% 14% 24% 9%

Aprendizaje automático 34% 15% 1%3% 14% 25% 8%

Minería de procesos 28% 17% 1%3% 15% 28% 8%

RFID (identificación por radiofrecuencia) 43% 22% 1%2% 14% 13% 5%

0% 20% 40% 60% 80% 100%

6 En el Glosario se proporcionan explicaciones de varios de estos términos, junto con otros términos clave utilizados en este informe.

24
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|2. RETOS Y OPORTUNIDADES ACTUALES

Los resultados son variables. En ciertos casos, herramientas
como la automatización robótica de procesos y la
automatización inteligente (RPA/IA) o no son aplicables o su
impacto es desconocido para el 48% de los encuestados,
mientras que el 34% de los encuestados consideró que las
mismas tecnologías habían mejorado sus controles internos.
Aparece un patrón similar para muchas de las tecnologías a
las que se hace referencia en esta pregunta. Solo el análisis
de datos y las aplicaciones basadas en la nube obtienen una
puntuación significativamente más alta, con un 65 %
registrando una mejora o una mejora significativa debido al
análisis de datos y un 60 % para las aplicaciones basadas en
la nube. Las grandes brechas en las respuestas para
tecnologías específicas revelan las diversas etapas de
exposición e implementación de cada una de ellas en las
iniciativas de transformación digital. Tomado junto con el
comentario proporcionado por los participantes de la mesa
redonda,7Las implicaciones de esto se consideran más
adelante en el Capítulo 3.
2.3 Flujos de datos, big data y
monitorización continua
Según un pronóstico de Statista en 2021, el mundo creará 97
zettabytes8de datos en 2022 y esto aumentará a 181 zettabytes en
2025 (Statista 2021). Esta explosión de datos es un aspecto del
viaje de transformación para muchas entidades, ya que buscan
utilizar los datos de manera que les permitan comprender mejor a
sus clientes, entre otras actividades, y optimizar sus procesos. Este
aumento de datos está impulsado por la llamada 'cuarta
revolución industrial'9y el mundo conectado. Cada una de estas
actividades puede, en parte, ser apoyada por las tecnologías
citadas en la Figura 2.10.
Se pidió a los encuestados que consideraran si este aumento
masivo en los datos disponibles había cambiado la efectividad
de los controles internos de su entidad (Figura 2.11).
Entre nuestros encuestados, el 52 % informó que la mayor
disponibilidad de datos había ayudado a mejorar la eficacia
del control interno. Este nivel de mejora fue mayor en Asia-
Pacífico (57 %), Asia Meridional (60 %) y Oriente Medio (63 %),
mientras que las cifras fueron menores en Europa Occidental
(44 %) y América del Norte (37 %).

FIGURA 2.11:Muchas entidades capturan más datos en comparación con hace cinco años. Gran parte de estos datos son relevantes
tanto para la información financiera como para la no financiera. ¿Este aumento en el volumen de datos ha afectado la efectividad de
los controles internos? (n = 1956)
40%
39%

30%

20% 22%

13%
10% 11%
9%

1% 5%
0%
Significativamente Deteriorado Sin impacto Mejorado significativamente No aplica no sé
deteriorado mejorado

ENTRE NUESTROS ENCUESTADOS,52%INFORMÓ QUE

LA MAYOR DISPONIBILIDAD DE DATOS HABÍA
AYUDADO A MEJORAR LA EFICACIA DEL CONTROL
INTERNO.

7 Las implicaciones de la tecnología para los conjuntos de habilidades de los profesionales de contabilidad y finanzas se analizan en ACCA (2020).

8 Un zettabyte es un múltiplo del byte unitario que mide el almacenamiento digital y equivale a 1.000.000.000.000.000.000.000 [1021] bytes.
9 El término "cuarta revolución industrial" fue presentado por primera vez a una amplia audiencia por Klaus Schwab en un artículo enRelaciones Exterioresen 2015 (Schwab 2015).

25
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|2. RETOS Y OPORTUNIDADES ACTUALES

Uno de los desafíos con tales volúmenes de datos es que las
técnicas de muestreo tradicionales se ven desafiadas para
garantizar que se extraigan conclusiones apropiadas de las
pruebas; varios participantes de la mesa redonda se refirieron a
esto. La oportunidad de usar el poder de cómputo para revisar
constantemente la totalidad de una población, lo que se
denomina 'monitoreo continuo', puede ofrecer ventajas en el
monitoreo de control interno. De los encuestados, el 28% ya
usaba esta técnica y otro 36% la estaba considerando (Figura
2.12). Las implicaciones del monitoreo continuo se consideran en
el Capítulo 3.
2.4 Formas de trabajo en evolución
Los cambios transformacionales no están relacionados solo con la
tecnología y los datos. Más bien, a menudo son cambios
fundamentales en las formas de trabajar. Una lección de la
pandemia es que aquellas entidades que han manejado los desafíos
de manera más efectiva son aquellas que han adoptado culturas
colaborativas e innovadoras.
Otro aspecto ha sido el cambio al trabajo híbrido que se ha
visto en muchas entidades, especialmente para más
miembros del personal de oficina. Al comienzo de la
pandemia, surgieron preguntas sobre el impacto del trabajo
doméstico o híbrido en el entorno de control interno. Seria
robusto? Si bien ha habido desafíos (y algunos de estos y sus
implicaciones de control se explorarán en el Capítulo 3), los
encuestados consideraron que, en general, la efectividad de
los controles había aumentado o permanecido igual con solo
el 31% informando que había disminuido. o disminuyó
significativamente (Figura 2.13). No obstante, mientras que en
Asia-Pacífico (30 %), el sur de Asia (33 %) y Europa occidental
(25 %) se tenía la impresión de que se habían mejorado los
controles, solo el 15 % de los encuestados en América del
Norte consideraba que así era. .
Un participante de la mesa redonda de Türkiye comentó: 'trabajar
desde casa en lugar de la oficina no supondría un gran cambio
desde [una] perspectiva de control. Supongo que la evaluación
podría ser diferente porque todo depende de qué tan bien esté
estructurado el entorno de control. Si tiene controles
automatizados mucho más que controles manuales y sus sistemas
están integrados, entonces trabajar desde cualquier lugar no tiene
nada que ver con el entorno de control'.

FIGURA 2.12:Con la creciente disponibilidad de Big Data, ¿su entidad está considerando el uso de técnicas de auditoría
continua y/o monitoreo continuo como parte de sus controles internos? (n = 1956)
40%

36%

30%
28%

20%
20%

10%
10%

6%

0%
Sí, ya estamos usando Sí, estamos considerando No No aplica no sé

FIGURA 2.13:¿Cómo evaluaría el impacto del trabajo remoto/híbrido en la efectividad de los controles internos? (n
= 1956)
40%

30% 32%

24%
20%
20%

10%
8%
7%
5% 4%
0%
Significativamente Disminuido Se quedó igual Aumentó Significativamente No aplica no sé
disminuido aumentó

26
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|2. RETOS Y OPORTUNIDADES ACTUALES

Trabajar desde casa ha aumentado el perfil de riesgo de muchas
entidades en torno a la pérdida de propiedad intelectual. Los estudios
muestran un aumento en el rango de ataques de phishing, por ejemplo,
desde el comienzo de la pandemia. VentureBeat hace referencia a un
estudio de SonicWall que sugiere un aumento del 231 % en los ataques
de phishing desde el comienzo de la pandemia hasta finales de 2021
(Alspach 2022). La protección cibernética se ha estado moviendo hacia un
En general, el 80% de los encuestados estuvo de acuerdo o muy de
acuerdo con esta afirmación. Este resultado mostró solo una
variación regional marginal.
En febrero de 2022, la Junta de COSO aprobó un estudio de
investigación para demostrar cómo se puede lograr un control
interno efectivo sobre los informes de sostenibilidad mediante la

modelo Zero Trust (como se analiza en ACCA / Chartered Accountants aplicación del Marco Integrado de Control Interno de 2013.10Es muy

Australia and New Zealand / Macquarie University 2019) que define el importante que los inversores y otras partes interesadas confíen en

perímetro de la amenaza cibernética de una manera diferente. El uso de las divulgaciones de ESG/sostenibilidad, como las relativas al riesgo

técnicas como el Zero Trust Model ayuda a redefinir el perfil de riesgo. climático, las emisiones de carbono, la ciberseguridad, la innovación
y el capital humano. Estos datos, informes y análisis son diferentes
de los datos financieros en que tienden a ser más desestructurados,
cualitativos y estimados a partir de diferentes fuentes.
2.5 Información no financiera
La consideración final en la encuesta fue si los encuestados
El gobierno de datos, la calidad, el modelado y el análisis son de
creían que los controles internos deberían extenderse a la
vital importancia.
información no financiera y los informes relacionados con los
objetivos ESG (Figura 2.14).

FIGURA 2.14:¿En qué medida está de acuerdo o en desacuerdo con que existe la necesidad de aplicar el marco de
control interno a los informes no financieros y ESG? (n = 1956)
50%

44%
40%

36%
30%

20%

10% 11%
3% 3% 3%
0%
Muy en desacuerdo Discrepar ni de acuerdo Aceptar Totalmente de acuerdo no sé
ni en desacuerdo

GENERAL,80%DE LOS ENCUESTADOS ACORDARON O MUY DE

ACUERDO EN QUE EXISTE LA NECESIDAD DE APLICAR EL
MARCO DE CONTROL INTERNO A LOS INFORMES NO
FINANCIEROS Y ESG.

10 COSO (2022)

27
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|2. RETOS Y OPORTUNIDADES ACTUALES

A MENOS QUE MODIFIQUEMOS NUESTRO

ENFOQUE SOBRE LA IDENTIFICACIÓN DE
RIESGOS Y LA METODOLOGÍA DESDE UN
PUNTO DE VISTA DE CONTROL INTERNO, NO
CREO QUE LOS ENFOQUES TRADICIONALES
VAN A SER RELEVANTES POR MÁS TIEMPO.

28
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO

3.en evoluciónnuestropensando

'EL CAMBIO VIENE A MAYOR VELOCIDAD Y CON UN IMPACTO MÁS

SIGNIFICATIVO QUE NUNCA ANTES. LA TECNOLOGÍA QUE ESTAMOS
UTILIZANDO Y LOS RIESGOS Y REQUISITOS QUE ENFRENTAN, EN
PARTICULAR DE LOS REGULADORES, ESTÁN EN EXPANSIÓN.'
CONSULTOR DE AUDITORÍA INTERNA EN LA MESA REDONDA DEL REINO UNIDO Y LA REPÚBLICA DE IRLANDA

3.1 Trazando un camino a seguir la automatización de los controles, incluido el uso de aprendizaje

Habiendo considerado la posición actual a través de los automático y otras técnicas, requiere que esto esté en su lugar. Esto, a

resultados de la encuesta y evaluando las percepciones de los su vez, debe integrarse con la plataforma de cumplimiento y riesgo de

entrevistados y participantes de la mesa redonda, es importante gobierno (GRC) que forma parte de la arquitectura tecnológica general

trazar un camino a seguir para el control interno, dadas las (consulte la sección 3.5).

influencias sobre él. En este capítulo se exploran varios de los

controladores. Avanzar requiere que se tomen medidas: los 3.2 Evolución de la tecnología y los datos
puntos de acción sugeridos se resaltan con un '!'icono. No se puede escapar de que la tecnología y los datos están cambiando
el panorama empresarial. Antes de la pandemia, las entidades se
La discusión se desarrolla en torno a varios factores enfocaban cada vez más en comprender cómo crear valor y
(Figura 3.1). conocimiento a partir de los datos a su disposición, y en lograr estos
objetivos. La opinión de que la pandemia aceleró la tasa de adopción
Comprender el perfil de riesgo es fundamental. Los controles
de tecnología fue ampliamente aceptada por los participantes de la
monitorean los riesgos y este vínculo en la entidad transformada
mesa redonda y los entrevistados. La expresión 'cinco años en cinco
sigue siendo esencial (como se discutió en la sección 3.9). los
meses' se ha utilizado con frecuencia como mantra para esta
aceleración tecnológica. Un socio de una firma de contabilidad en la
India comentó que, 'nos guste o no, la tecnología ha dominado las
FIGURA 3.1:Trazando un camino a seguir operaciones comerciales en los últimos... 10 a 20 años. Diría que más
en los últimos dos años. El impacto de la tecnología posterior a COVID
Tecnología & Entidad ágil no financiero ha sido bastante marcado e incluso cuando las personas se mostraron
evolución de datos reportando reacias a aceptar el cambio, se vieron obligadas a hacerlo. Agregó que,
en su opinión, "a menos que modifiquemos nuestro enfoque sobre la
identificación de riesgos y la metodología desde el punto de vista del
control interno, no creo que los enfoques tradicionales sigan siendo
relevantes". En opinión de un director ejecutivo de auditoría de EE. UU.,
'lo que está sucediendo en el mundo de la auditoría es [que] los
procesos comerciales se están moviendo, pero la función de auditoría
no se está moviendo tan rápido'.
IMPLICACIONES PARA EL CONTROL INTERNO

Como se ha demostrado a partir de los resultados de la encuesta en la

Conjuntos de habilidades
estrategia y cultura
Figura 2.13, la percepción inicial de que los cambios en las formas de
Tiempo real Datos trabajar podrían resultar en un debilitamiento del entorno de control
gobernancia
interno puede no haberse materializado. Un director financiero
comentó que para la primera línea: "se está volviendo bastante difícil
para uno comprender el proceso de extremo a extremo, y si no logra
comprender el proceso, la segunda línea o la tercera línea
normalmente tendrán un desafío cuando" Estoy tratando de entender
ese proceso y luego tratar de ver si los controles están funcionando
correctamente o poder realizar una auditoría de él. En su opinión, la
naturaleza de los procesos se está volviendo más fragmentada e
informal. Desde la perspectiva de la primera línea, es más difícil
obtener la vista de extremo a extremo.

29
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO

Entre muchos de los participantes de la mesa redonda hubo
una opinión de que la informalidad de las formas de trabajo
que requirió la pandemia, por ejemplo, mediante el uso de
métodos informales para aprobar transacciones, como la
aprobación por correo electrónico o mensajes de WhatsApp,
puede haber resultado en una pérdida de seguimiento de
auditoría. Un entrevistado que trabaja en una industria
regulada aceptó que si bien muchos de estos cambios sociales
llegaron para quedarse porque los cambios de estilo de vida
entre la fuerza laboral se aceptaron, ahora era el momento de
Si bien ha habido una aceleración del ritmo del cambio en la tecnología
y los datos, es poco probable que este sea el final de la historia. El
impacto de la 'cuarta revolución industrial' en las entidades está
aumentando, especialmente cuando buscan abordar el clima
económico que está surgiendo en 2022. Un mayor uso de la
automatización en el ciclo de producción afectará no solo a las
entidades basadas en la fabricación, sino a todas. sectores en todas las
áreas de operaciones.11
Los componentes de esta revolución, denominada 'Industria 4.0', se

que las entidades reevaluaran algunos de los nuevos procesos muestran en la Figura 3.2.

'temporales' que se pusieron en marcha. en su lugar

Cuando se considera en combinación con las percepciones de los
rápidamente al comienzo de la pandemia que ahora se han
encuestados sobre los impactos tecnológicos en el control interno
vuelto permanentes y pueden necesitar una revisión adicional.
(Figura 2.10), sugeriría que una proporción razonable no es consciente
Este entrevistado continuó diciendo que había que lograr un
de los impactos de estas tecnologías en sus entidades o de las
equilibrio entre la necesidad del control y el entorno de
implicaciones del control interno. Quedarse quieto no es una opción, ni
trabajo en evolución. Había un riesgo, en su opinión,
lo es 'auditar alrededor de la caja' (es decir, adoptar enfoques nuevos/
no convencionales). Aquellos involucrados en el control interno deben

Un director ejecutivo de auditoría con sede en el Reino Unido tenía una

ser más conscientes de esta tecnología y los controladores de datos.

perspectiva diferente y comentó que: 'No creo que se trate de un mayor

control. Creo que se trata de un control más ágil y [evaluar] dónde
Un participante de la mesa redonda australiano comentó: 'la velocidad
probablemente estábamos sobrecontrolados. Nuestro apetito por el
a la que [el cambio tecnológico está] llegando es cada vez más rápida
riesgo estaba ligeramente fuera de control'.
de lo que hemos visto antes. La dependencia de la tecnología pesada
también se está volviendo más y más pesada a medida que avanzamos.
El desafío [es] para nuestro entorno de control interno... abordar eso
CONSIDERAR LAS TRANSICIONES DE
en cualquier situación que veamos'. Relacionando esto con el número
TECNOLOGÍA Y DATOS QUE LAS ENTIDADES
de encuestados que no entendieron el impacto de las tecnologías
HAN INTEGRADO AL MODELO OPERATIVO Y
emergentes en relación con el control interno, a medida que aumenta
LAS ESTÁN REFLEJANDO EN LOS CONTROLES
INTERNOS. el uso de una variedad de tecnologías, la brecha potencial se amplía.

FIGURA 3.2:Componentes de 'Industria 4.0'

Simulación

Sistemas autónomos Integración vertical y horizontal

Industria
Computación en la nube Internet de las Cosas
4.0

Fabricación aditiva La seguridad cibernética

Aumentado grandes datos

la realidad

11 A modo de ejemplo, se considera el impacto en las Cadenas de Suministro de la Industria 4.0 en ACCA/IMA/Chartered Institute of Procurement and Supply (CIPS) (2022).

30
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO
ASEGÚRESE DE QUE COMPRENDE LA TECNOLOGÍA
Y LOS DRIVERS DE DATOS EN EL MODELO
OPERATIVO DE LA ENTIDAD. ASEGÚRESE DE QUE
ESTÁ FAMILIARIZADO CON EL USO DE
TECNOLOGÍAS EMERGENTES.
MAPEAR EL USO DE TECNOLOGÍAS EMERGENTES PARA
LOS CONTROLES INTERNOS E IDENTIFICAR
OPORTUNIDADES PARA AUMENTAR LA EFICACIA DEL
CONTROL.
Un participante sudafricano de la mesa redonda llevó la discusión
más allá. 'La quinta revolución industrial [será] donde los humanos
y las máquinas coexistiendo juntos nos dan la oportunidad de
cambiar la mentalidad, cambiar la cultura. Podemos usar la
tecnología para asegurarnos de tener eficiencia operativa'.
3.3 La entidad ágil
Es probable que los impulsores económicos de 2022 y más allá signifiquen
que las entidades deberán ser ágiles para adaptar sus modelos operativos.
Agilidad significa que existe la necesidad de actualizar y cambiar
constantemente el modelo operativo para poder aprovechar las
oportunidades y gestionar las limitaciones del entorno económico. Esto
significa que los controles internos deben ser adaptables y dinámicos. Los
resultados de la encuesta sugieren que las consideraciones de control
interno siguen siendo una posible ocurrencia tardía en el proceso de
transformación (Figura 2.7). A medida que las entidades migran cada vez
más a la tecnología basada en la nube y las arquitecturas de datos
construidas en torno a las aplicaciones "mejores de su clase", la necesidad
de explotar
FIGURA 3.3:El 'núcleo digital'
Colaboración
e innovación
Núcleo digital
internet de las cosas y
dispositivos conectados
Análisis e información GRC
12 Los términos 'cascada' y 'ágil' se definen en el Glosario.
31
esta agilidad aumentará. El concepto de 'Digital
Core' (Figura 3.3) facilita esta rápida sensación de cambio
(ver ACCA/CA ANZ/Generation CFO 2021).
Es importante que los encargados del control interno en todos los
niveles de operación dentro del Modelo de las Tres Líneas se
aseguren de que estas consideraciones se incluyan en los
equipos de proyecto que son responsables de impulsar estos
cambios ágiles. A menudo, estos equipos se reúnen para
actividades a corto plazo y se retiran con la misma rapidez. No es
posible realizar cambios para acomodar las consideraciones de
control interno como una ocurrencia tardía, como lo destacaron
varios participantes de la mesa redonda y lo confirmaron sus
experiencias. La mentalidad de los encargados del control interno
debe pasar de una 'cascada' a una 'ágil'12
enfoque y ser proactivo en establecer el caso para la
participación en lugar de esperar a ser invitado.
APRECIAMOS QUE LOS DESARROLLOS DEL MODELO
OPERATIVO SON CADA VEZ MÁS PROBABLES QUE SE
REALICEN DE MANERA ÁGIL Y ASEGURAR QUE LOS
ENCARGADOS DEL CONTROL INTERNO EN TODOS
LOS NIVELES DENTRO DEL MODELO DE LAS TRES
LÍNEAS ESTÉN PREPARADOS PARA PARTICIPAR
APROPIADAMENTE.
A medida que aumenta la amplitud del control interno para incluir
más aspectos financieros y no financieros de la entidad, existe la
necesidad de una visión integrada de los datos de riesgo. Aunque,
como señalan McPherson et al., 'llevar a que los datos de riesgo se
fragmenten, desalineen y dispersen en
Compromiso de la fuerza laboral
Experiencia del cliente
Redes sociales
finanzas y operaciones
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO

silos organizacionales, lo que impide que los líderes obtengan una
vista panorámica necesaria del panorama de riesgo que necesitan
para actuar con audacia y determinación '(McPherson et al 2022).
Esta progresión del control interno requiere la adopción de
soluciones GRC efectivas y eficientes.
IMPLEMENTAR UNA SOLUCIÓN DE GRC QUE
ABORDE TODOS LOS ELEMENTOS DE RIESGO Y
En julio de 2021, COSO publicó una guía,Gestión de riesgos
empresariales para la informática en la nube(Grob y Cheng
2021), que brinda una perspectiva sobre esta área. Esto amplía
los 17 principios (consulte la sección 1.1, Figura 1.2) a un
escenario basado en la nube, proporciona una hoja de ruta para
implementar la computación en la nube y describe las funciones
y responsabilidades apropiadas.
Muchos participantes de la mesa redonda destacaron la importancia de los

CONTROL INTERNO EN TODA LA ENTIDAD.
Varios participantes de la mesa redonda destacaron los
desafíos de la migración de datos a medida que las entidades
hacen la transición al núcleo digital. Si bien la migración de
datos nunca puede ignorarse, lo que debe apreciarse son los
cambios inherentes en el uso de TI que introduce este modelo
operativo. Las soluciones basadas en la nube requieren un
enfoque diferente para la mejora de las aplicaciones. Los
proveedores publican los cambios de acuerdo con sus propios
plazos y los modelos operativos deben adaptarse. No se aplica
la visión tradicional de los controles generales de TI. En los
modelos operativos tecnológicos tradicionales, las entidades
competían modificando la aplicación para adaptarla a su
propio modelo operativo. En el mundo basado en la nube, los
modelos operativos deben adaptarse al modelo establecido
por el proveedor y el panorama competitivo ha cambiado, ya
que las entidades compiten para obtener información de los
datos disponibles.
Un CFO en el Medio Oriente comentó que: "el mayor desafío
se debe a que la tecnología evoluciona tan rápido: una vez que
crea un control, de repente ese control ya no es relevante y,
en algunos casos, los controles en realidad no son
comercialmente viables". señalando que en su organización
no existe ningún requisito legislativo o reglamentario para la
implementación de dicho entorno.
informes SOC 2 para los proveedores de servicios en la nube.13
Es esencial comprender qué riesgos debe gestionar esa entidad al
interactuar con un proveedor de servicios. Una de las lecciones
aprendidas por las entidades en la década de 1990 durante la ronda
inicial de subcontratación de TI fue que no se puede derogar la
responsabilidad por el riesgo y, de hecho, se necesita tanto esfuerzo
para administrar la relación con el proveedor de servicios como para
ejecutar la operación de TI internamente. . Todo lo que cambia es el
perfil de riesgo. El mismo mensaje sigue siendo válido hoy con la
iteración de aplicaciones basadas en la nube.
Un director ejecutivo de auditoría en los EE. UU. comentó:
'[tradicionalmente, las entidades] tienen su propio conjunto de
controles en torno a los controles de gestión de acceso, sus propios
controles de gobierno y gestión de cambios. Y está viendo que
[entidades], incluidos los departamentos de TI, se vuelven más
dependientes del marco de control [del proveedor de la nube]. [Como
auditor,] estamos cuestionando si está bien. Sabemos que esta es una
gran empresa y servicio, pero ¿cuánto vamos a confiar en su marco,
sus controles y sus estructuras y decir que estamos de acuerdo con
eso?'
APRECIAR LAS CONSIDERACIONES DE CONTROL
INTERNO DERIVADAS DEL PERFIL DE RIESGO CAMBIADO
EN CUALQUIER ESCENARIO BASADO EN LA NUBE.
APRECIAMOS QUE LOS CONTROLES GENERALES
TRADICIONALES DE LA TECNOLOGÍA DE LA
INFORMACIÓN (ITCGS) HAN CAMBIADO.

RECONFIGURAR EL MODELO DE RIESGO PARA

REFLEJAR LAS PRÁCTICAS TECNOLÓGICAS CAMBIADAS Las aplicaciones basadas en la nube ofrecen accesibilidad al usuario final, ya
QUE SURGEN DE LA ADOPCIÓN DE APLICACIONES sea un cliente o un miembro del personal; vendedor o proveedor. A menudo,
BASADAS EN LA NUBE. COMPRENDER LA
la captura de datos se realiza a través de un dispositivo móvil y ocurre cerca
NATURALEZA DIFERENTE DE LA TECNOLOGÍA Y DE LA
del momento de la transacción. El control interno que está enmarcado por
RELACIÓN CON EL VENDEDOR.
revisiones detectivescas periódicas está demasiado alejado del inicio de la
transacción. La transacción es pasada. El uso de controles automatizados
basados en los parámetros matemáticos del sistema o modelo proporciona
Si bien este enfoque puede ser relativamente fácil de adoptar para las
una retroalimentación más relevante.
entidades más grandes, para aquellas en el nivel medio, donde el control
interno es igualmente importante, la adopción de nuevas tecnologías puede
verse limitada por la disponibilidad de fondos y la falta de capacidad técnica
para implementar las medidas necesarias. cambios, tanto en la tecnología
INTEGRA CONTROLES INTERNOS AUTOMATIZADOS Y
BASADOS EN PARÁMETROS EN APLICACIONES
como en el control interno. Esto, en sí mismo, es una barrera que estas
BASADAS EN LA NUBE, ESPECIALMENTE EN EL
entidades deben superar, de lo contrario, se puede perder la ventaja
PUNTO DE INICIACIÓN.
competitiva.

13 SOC 2 es el estándar de cumplimiento voluntario de AICPA para organizaciones de servicios.

32
Traducido del inglés al español - www.onlinedoctranslator.com

EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO

En febrero de 2022, COSO publicó una guía sobre la
aplicación de metodologías ágiles al control interno (Walker
2022). La guía describe cómo se puede adoptar un enfoque
de gestión de riesgos empresariales (ERM) en un entorno
empresarial ágil. La guía hace 20 recomendaciones para
fortalecer ERM en un entorno ágil.
En primer lugar, como comentaron los participantes de la mesa redonda y
los entrevistados, muchas entidades no recopilan actualmente la gama
completa de datos que pueden requerir tales divulgaciones. Muchos de los
componentes de datos se encuentran fuera de las propias entidades, en sus
cadenas de suministro. La obtención y gestión de dichos datos es claramente
un problema que deberá abordarse.

En segundo lugar, las aplicaciones aún no están implementadas para

administrar estos datos. Si bien los proveedores de software pueden
3.4 Consideraciones sobre información no financiera
desarrollar nuevas aplicaciones, gran parte de los informes actuales se
El perfil de reporte de las entidades está cambiando. Las partes
desarrollan utilizando aplicaciones basadas en el usuario final, como
interesadas requieren una visión más amplia del desempeño que
hojas de cálculo, que ya se entienden como debilidades en los entornos
incluya consideraciones ESG; de hecho, el rango de estas partes
de control interno.
interesadas está aumentando.

En tercer lugar, a diferencia de los datos de informes financieros, gran

En marzo de 2022, la SEC de EE. UU. publicó su borradorLa mejora y
parte de los datos no financieros requeridos no están estructurados y
estandarización de las divulgaciones relacionadas con el clima para
son de naturaleza cualitativa. Esto presenta desafíos en el desarrollo
inversores(SEC 2022), que en el párrafo E comenta 'Como parte de los
de un nivel de garantía de control interno sobre los datos. Como se
estados financieros de la entidad registrada, las métricas de los estados
analiza en la sección 3.8, hubo un fuerte sentimiento entre los
financieros estarían sujetas a auditoría por parte de una firma de
participantes de la mesa redonda de que es necesario comprender la
contabilidad pública registrada independiente y estarían dentro del alcance
alineación cada vez mayor entre los objetivos de gobierno de datos y
del control interno de la entidad registrada sobre la información financiera
control interno. Esta área es un impulsor principal.
("ICFR ”)'.14

Un director ejecutivo de auditoría de Europa Central y del Este

El Grupo Asesor Europeo de Información Financiera (EFRAG)
señaló que: 'los datos [no financieros] obviamente se encuentran en
también publicó en marzo de 2022 un borrador de guía sobre
su mayoría fuera de los sistemas ERP [planificación de recursos
informes de sostenibilidad que incluye aspectos de control
empresariales]. En realidad, se recopila de manera ad hoc, solo
interno (EFRAG 2022). El apartado 43 sugiere que "la empresa
cuando se necesita para informar. Puede imaginarse si [tiene] que
proporcionará información sobre sus procesos de control
compilarse manualmente lo difícil que es auditarlo. Es una especie
interno, incluso en relación con el proceso de elaboración de
de trabajo creativo y, a veces, creo que es solo una aproximación
informes de sostenibilidad". El párrafo 44 proporciona un
aproximada'.
comentario al afirmar que 'el principio a seguir bajo este
requisito de divulgación es informar sobre los aspectos
relacionados con los factores de gobierno que afectan los
TRABAJAR PARA IDENTIFICAR LAS FUENTES DE
procesos de control interno de la empresa, incluso en relación
DATOS RELEVANTES QUE PERMITAN A LA
con los informes de sostenibilidad, y proporcionar una
ENTIDAD CUMPLIR CON LOS REQUISITOS DE
comprensión de la supervisión y seguimiento de dichos procesos
INFORMACIÓN NO FINANCIERA.
por parte del órgano de gobierno de la empresa».

Además, en marzo de 2022, el Consejo de Normas Internacionales de

DESARROLLAR UNA ESTRATEGIA PARA INCLUIR
Sostenibilidad (ISSB) publicó sus borradores de exposición sobre los LOS DATOS NO FINANCIEROS NECESARIOS EN
requisitos generales de divulgación relacionados con la sostenibilidad EL MARCO DE CONTROL INTERNO Y ESTAR
(ISSB 2022a) y los requisitos de divulgación específicos relacionados con PREPARADOS PARA DOCUMENTARLOS SEGÚN
el clima (ISSB 2022b). Entre ellos, estos describen los estándares internos CORRESPONDA.
de información propuestos en esta área.

Independientemente del resultado de estas consultas, el alcance ENLACE CON LOS ENCARGADOS DE LA GOBERNANZA
de los informes y los controles internos requeridos de las DE DATOS PARA ASEGURAR LA ALINEACIÓN ENTRE
entidades más grandes se expandirán para incluir componentes ESTOS CONJUNTOS DE DATOS.

no financieros. Esto era claramente lo que esperaban los

encuestados (Figura 2.14).
Muchos de los participantes de la mesa redonda también
abordaron esta área. Para varios, si bien ya esperaban
incluir datos no financieros en su entorno de control interno,
también se reconoció que esto presenta desafíos que las
entidades pronto deberán enfrentar.
Un entrevistado con una larga experiencia en control
interno y que consulta con muchas grandes
corporaciones reflexionó sobre si los responsables del
Modelo de tres líneas del IIA estaban listos para adoptar
flujos de datos de informes no financieros dentro de sus
objetivos. Su evaluación fue, 'No. No de ahora al menos'.15

14 SEC (2022) apartado E p; 43; haciendo referencia a la sección II F 2 y 3 dentro del mismo documento.

15 En febrero de 2022, el directorio de COSO aprobó un estudio sobre Sostenibilidad / ESG (COSO 2022) con miras a publicar sus resultados más adelante en el año.

33
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO
3.5 Detalle de las implicaciones para el
control interno
Cada una de las tendencias descritas en las secciones anteriores
tiene una implicación para el entorno de control interno en una
entidad. Estas implicaciones continuarán ampliándose, y la
realidad del entorno cambiante es una que las entidades deben
asegurarse de abordar. Esta sección considera algunas de las
implicaciones con más detalle y considera varias implicaciones
tecnológicas y de datos para las finanzas (Figura 3.4).
Alrededor o a través
Una pregunta clásica de la auditación es si auditar alrededor oa través
de la computadora.dieciséis¿Tratas el algoritmo de la computadora como
una caja negra? La dependencia sustancial de las entidades en TI
significa que los intentos de auditar 'alrededor' de la computadora no
reflejan cómo opera la entidad. Existe una desalineación potencial de
los perfiles de riesgo. Parte de la discusión en las mesas redondas
reflejó que, para muchos equipos de auditoría interna, todavía había
una tendencia a auditar 'alrededor' de la computadora, debido
simplemente a la falta de habilidades (ver sección 3.6) o por
conveniencia. Hubo un sentimiento en muchas de las discusiones de
que las entidades dependían de los controles manuales y tenían
muchos procesos manuales duplicados que formaban parte del marco
de control interno, ya que esto era más fácil que comprender e
implementar controles automatizados.
Como comentó un entrevistado, es más fácil documentar y
probar un control manual que uno automatizado.
Sin embargo, varios participantes de la mesa redonda aceptaron
que si las entidades van a gestionar con éxito los volúmenes
cada vez mayores de datos que sus entidades originan o
necesitan gestionar17entonces los controles automatizados son
esenciales. Un entrevistado de la India comentó: 'Se comprueba
una muestra en un control automatizado y ya está. Porque si
funciona en un punto en el tiempo, se supone que debe
funcionar siempre [suponiendo que
FIGURA 3.4:Tecnologías que afectan las finanzas y el control interno
basado en la nube
Automatización
Datos y
soluciones
16 La referencia al término 'computadora' es para inferir la totalidad de las aplicaciones y el hardware.
17 Un ejemplo de dónde una entidad puede necesitar cada vez más procesar y validar información sobre otras entidades se relaciona con su capacidad para abordar propuestas europeas.
Divulgaciones de la cadena de suministro de la Unión, como se analiza en ACCA / IMA / CIPS (2022).
la codificación es correcta]. Y podrías tener cinco muestras.
Tenemos que avanzar hacia controles automatizados'.
Un director financiero del Reino Unido destacó una dicotomía. "De
alguna manera nos hemos vuelto más confiados o tuvimos que
confiar más en nuestra gente, y eso también es una dicotomía con el
control interno, porque de alguna manera, el control interno dice: "No
confío lo suficiente en ti, por lo tanto, quiero proteger". usted y yo
necesitamos involucrar a más personas en este proceso”, y creo que
eso podría necesitar un poco de reflexión'.
Un colaborador de la República de Irlanda comentó, 'la gente no
entiende cómo documentar esos controles automatizados o
[saben] que... los controles automatizados pueden ahorrar mucho
tiempo y pueden... entrar en muchos más riesgos del sistema en
lugar de ir de vuelta al tic-tac y los golpes y los controles
manuales'.
Un director ejecutivo de auditoría europeo advirtió que, a
medida que las entidades avanzan hacia procesos globales y
controles estándar, puede haber desafíos para comprender
cómo se aplican en ubicaciones específicas. Este participante
agregó: "Encontrar... el denominador común que podría usarse
para un control automatizado en términos de talla única es
difícil".
REEVALUAR EL ENFOQUE DE LOS CONTROLES
AUTOMATIZADOS DENTRO DE LA ENTIDAD.
IDENTIFICAR ÁREAS DONDE SE REALIZAN
CONTROLES MANUALES QUE PUEDEN DUPLICAR
CONTROLES AUTOMATIZADOS Y ELIMINAR
SEGÚN SEA APROPIADO.
El uso de controles automatizados puede involucrar un elemento de
monitoreo continuo (como se discutió en la sección 3.7).
CONTROL INTERNO
Bajo/Sin código Máquina cadena de bloques
perspectivas desarrollos aprendizaje
Cambiar los controles generales de TI
Aplicaciones tradicionales
34
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO
Cambiando el ambiente de trabajo
Las entidades todavía están lidiando con los cambios en el
lugar de trabajo que han resultado de la pandemia. Incluso
antes del COVID-19, el modelo de negocio tradicional basado
en la presencia física estaba siendo sustituido por uno basado
en la aportación a la entidad, y esta tendencia se ha acelerado.
En muchas entidades, el tiempo y la ubicación ya no son
problemas, el valor y la eficiencia son los factores clave. La
colaboración está a la orden del día si las entidades quieren
sobrevivir en tiempos turbulentos. Varios de los participantes
de la mesa redonda cuestionaron si los controles internos
basados en procedimientos manuales o la presencia física
pueden considerarse efectivos para el futuro. Algunos
participantes de la mesa redonda que representaban a la
comunidad de auditoría interna comentaron que, en sus
revisiones de procesos y controles,
Un CFO que contribuyó a este informe consideró estas implicaciones
junto con las del entorno económico desafiante de 2022, y señaló que a
medida que los costos [y las ganancias] de las entidades se vuelven
más reducidos y las formas de trabajar más informales: 'se da cuenta
de que tiene desafíos de incluso cosas básicas como la segregación de
funciones. Cuando alguien se va de permiso, se convierte en un desafío
muy difícil. Entonces descubre que los controles pueden ser violados'.
Otro director financiero comentó las preocupaciones sobre la dispersión de datos por
correo electrónico. A medida que los correos electrónicos de phishing se vuelven más
sofisticados, aumentan los riesgos.
La integridad y la confidencialidad de los datos ya no son
funciones de controles físicos, por ejemplo, estar en una oficina y
estar conectado a una red, sino que son controles lógicos de
autenticación, redes privadas virtuales y cifrado. Algunas de
nuestras bases de confidencialidad han cambiado.
A medida que cambian las formas de trabajar, necesitamos reevaluar
los fundamentos del control interno desde la percepción de que el
personal está físicamente presente hasta una aceptación más
basada en valores de cómo se desempeñan los roles. Muchos
controles tradicionales (y quizás más manuales) ya no son efectivos.
La automatización es una necesidad.
Desarrollos de usuario final y el uso de soluciones
Lo-code / No-code
La herramienta informática tradicional del usuario final era la hoja de
cálculo. Los estudios, como uno realizado por ACCA (2020), indican que,
como profesionales de la contabilidad y las finanzas, seguimos confiando en
las hojas de cálculo y tardamos en adoptar otras formas de herramientas
analíticas o de eficiencia de procesos, como herramientas analíticas y RPA
(ACCA et al. 2018) o (Jiles 2020). Cada uno de estos es esencialmente una
solución desarrollada por el usuario final. Como comentó un director
ejecutivo de auditoría, estas soluciones desarrolladas por el usuario final
deben estar sujetas al mismo nivel de controles de desarrollo que las
aplicaciones informáticas de usuario final más tradicionales. Sin embargo,
para que las entidades sean ágiles, necesitan cada vez más adoptar y no
evitar estas soluciones.
35
COMPRENDER EL ALCANCE DE LA COMPUTACIÓN DEL
USUARIO FINAL (INCLUYENDO AQUELLAS FUERA DE
LA DEFINICIÓN TRADICIONAL) Y ASEGURARSE DE
QUE TODAS LAS APLICACIONES QUE SE
DESARROLLAN Y QUE FORMAN PARTE DE LOS
CONTROLES INTERNOS, TENGAN EL NIVEL
ADECUADO DE CONTROLES DE DESARROLLO Y
PRUEBA APLICADOS.
Esta es sólo una etapa en el viaje. La entidad ágil utilizará cada vez más
soluciones que se pueden desarrollar e implementar rápidamente, a
menudo utilizando herramientas de desarrollo sin código o código
bajo para mejorar el modelo operativo. Estas soluciones son utilizadas
por el usuario final en lugar del departamento de TI y pueden
desarrollarse e implementarse rápidamente. Existe el riesgo de una
falta de reconocimiento formal de las consideraciones de control
interno en tales escenarios, sin embargo, forman parte fundamental
de los modelos operativos de las entidades, utilizando al máximo el
entorno basado en la nube.
APRECIAMOS QUE LA TRANSFORMACIÓN ÁGIL
UTILIZARÁ CADA VEZ MÁS APLICACIONES PARA
DESARROLLAR MEJORAS EN LOS PROCESOS
OPERATIVOS QUE NO ESTÁN SUJETOS A LOS CICLOS
DE VIDA TRADICIONALES DE DESARROLLO DE
APLICACIONES Y GARANTIZAR QUE SE ABORDEN LOS
RIESGOS QUE SURGEN.
Incluso en la aplicación de tecnologías, la tendencia es verlas
a través de una lente de proceso y no mirar las oportunidades
de control que pueden presentar. Como comentó un
entrevistado de la India, para cada proceso al que aplicamos
RPA, es posible considerar un método paralelo basado en el
control. Consideraron que no se estaba poniendo suficiente
énfasis en el uso de RPA para fines de control interno.
Controles generales de TI
La visión tradicional de los controles generales de TI (ITCG) es
que se aplican a todos los sistemas informáticos y al entorno
en el que operan. Hay varias fuentes de orientación en esta
área.
norte IIA ha publicado una serie de guías de auditoría de tecnología
global que respaldan la comprensión de varias áreas que son
relevantes para la auditoría de este entorno.
norte La Asociación de Auditoría y Control de Sistemas de
Información (ISACA) ha publicado su marco de objetivos de
control para tecnología de la información (COBIT), que
alinea los objetivos tecnológicos con el marco COSO.
norte AXELOS, que es propiedad conjunta de Capita y la Oficina del Gabinete del
gobierno del Reino Unido, tiene un conjunto de estándares relacionados
con TI conocido como Biblioteca de Infraestructura de TI (ITIL).
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO
Cada una de estas formas de orientación se revisa y actualiza
periódicamente. Aun así, la visión tradicional de los ITGC,
expresada por los participantes de la mesa redonda, es que son
aplicables al entorno informático heredado. Con el avance de las
tecnologías 'como servicio', la forma en que las entidades
consumen y usan los servicios de TI está cambiando. Esto apoya el
desarrollo de la entidad ágil y transformadora. Al desarrollar
controles internos, es importante comprender cómo está
cambiando el entorno de TI. Como comentó un participante de la
mesa redonda de América del Norte, en su empresa, 'es casi risible
que... apliquemos la misma metodología de controles generales
de TI que hacíamos hace 20 o 30 años'.
Como señala el comentarista Matt Kelly: 'Los ITGC funcionan fuera de
la vista de la mayoría de los empleados, pero son increíblemente
importantes para la seguridad, el cumplimiento y el éxito operativo.
Sin embargo, el hecho primordial es que la empresa comercial
moderna solo dependerá más de la tecnología a medida que
avanzamos hacia el futuro. Cuanto más comprenda los ITGC que
respaldan su negocio, mejor podrá competir su negocio en nuestro
mundo altamente regulado y altamente riesgoso' (Kelly 2022).
EVALUAR EL ENTORNO DE CONTROL GENERAL DE TI
EN EL CONTEXTO DEL MODELO OPERATIVO ACTUAL,
IDENTIFICANDO DÓNDE LOS CONTROLES SE
GESTIONAN A TRAVÉS DE APLICACIONES BASADAS
EN LA NUBE EN LUGAR DE EN LAS INSTALACIONES Y
LOS CAMBIOS RESULTANTES EN LOS PERFILES DE
RIESGO.
cadena de bloques
Las tecnologías de cadena de bloques a menudo se citan como entornos
donde los objetivos de control son parte integral de su tejido. Hasta la fecha,
el uso de esta tecnología se ha limitado a determinadas circunstancias, como
aquellas en las que la procedencia de los bienes o los datos financieros son
de importancia crítica. A medida que la procedencia se convierte en un
riesgo cada vez mayor a nivel de entidad, por ejemplo, para ayudar a
abordar los objetivos ESG, es probable que aumente el uso de esta y otras
tecnologías similares. Es importante para las entidades apreciar cómo esta
tecnología puede ayudar a abordar objetivos de control definidos con
precisión.
En julio de 2020, COSO publicó una guía sobre la aplicación del control
interno en un escenario de cadena de bloques (Burns et al. 2020), en la
que los autores evalúan el impacto potencial de la cadena de bloques
en el control interno.
Aprendizaje automático e inteligencia artificial La inspección
de datos requiere cada vez más la detección de patrones
aprendidos de la experiencia. Este no es el único caso del uso de
aprendizaje automático (ML) e inteligencia artificial (IA) en
entidades. Como técnicas de control, estas presentan desafíos
dado que, a medida que los algoritmos aprenden durante el uso,
se vuelve un desafío comprender si se detectan verdaderos o
falsos positivos en los conjuntos de datos, o
36
desarrollar proyecciones más enfocadas. Se requiere una habilidad
profunda, como la de un auditor de algoritmos, para evaluar su efectividad.
Sin embargo, muchos ciclos de planificación y previsión que se encuentran
en el centro de los controles de revisión de gestión están utilizando
elementos de ML para mejorar la precisión de sus previsiones.
Para los responsables de los controles internos, en cualquier
parte de la entidad, una de las TIGC fundamentales, la gestión
del cambio, debe aplicarse en un sentido diferente al algoritmo.
En el ambiente tradicional, los cambios fueron documentados y
evaluados. ML no crea tal pista de auditoría. Aprende a medida
que avanza. El potencial de sesgo en los algoritmos se
comprende bien; sin embargo, no es posible aplicar
procedimientos de gestión de cambios convencionales. Existe la
tentación de tratar el algoritmo como una 'caja negra', pero
incluso eso requiere análisis especializados de los resultados
esperados frente a los reales. Pero ML está aquí, y es importante
mejorar en consecuencia.
APRECIAR EL PAPEL QUE PUEDEN JUGAR EL
APRENDIZAJE AUTOMÁTICO Y LA INTELIGENCIA
ARTIFICIAL EN EL ENTORNO DE CONTROL.
Todas estas tendencias detalladas tienen implicaciones para los conjuntos de habilidades
de aquellos en cada una de las tres líneas.
En septiembre de 2021, COSO publicó una guía sobre ML y
relaciona el marco COSO con su uso (Calagna et al. 2021).
La guía asigna los 17 principios a su aplicabilidad a la IA y
sus usos potenciales en las entidades.
3.6 Conjuntos de habilidades
La cuestión de qué habilidades deben desarrollarse para seguir siendo
relevantes como contadores y finanzas, auditoría interna u otros
profesionales es algo que se plantea con frecuencia. Charlie Wright,
presidente del IIA de la Junta Global 2021-2022, en una discusión
sobre las habilidades futuras del auditor interno, hizo el siguiente
comentario.
"A pesar de este potencial, solo el 38 % de los directores ejecutivos
de auditoría o jefes de auditoría interna que participaron en un
estudio global de octubre de 2020 [realizado por IIA y Deloitte] que
exploraba la competencia de auditoría interna dijeron que sentían
que sus funciones tenían la capacidad de auditar más de tres de seis
áreas críticas relacionadas con la tecnología y la innovación. Estas
áreas incluían:
norte Tecnologías disruptivas
Entornos informáticos virtuales y en la nube
norte
norte ERM ampliado
norte la seguridad cibernética
norte evaluación dinámica de riesgos
norte continuidad del negocio y gestión de crisis.'
Fuente: Wright 2021
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO
Existe una clara necesidad de desarrollar una amplia gama de
habilidades, tanto técnicas como de naturaleza más interpersonal.
Estudios separados de ACCA (2020 y 2021) e IMA (Krumwiede 2017)
coinciden con este análisis para todos los profesionales de
contabilidad y finanzas. La mejora de las habilidades solo se puede
lograr a través del aprendizaje continuo, pero no se trata solo de
aprender habilidades técnicas: el profesional de contabilidad,
finanzas y auditoría interna también debe ser un asesor de
confianza.18
A medida que el control interno continúa transformándose, los conjuntos de
habilidades de quienes están a cargo deben expandirse. Una apreciación de
la tecnología y los datos ya no son 'buenos de tener', sino que son
necesidades. El desafío de esta declaración se puede ver reflejado en los
resultados de la encuesta a los que se hace referencia en la Figura 1.4 y en la
Figura 2.7, que indican el nivel de escasez de habilidades y su impacto en el
trabajo relacionado con el proyecto.
IDENTIFICAR LOS CONJUNTOS DE HABILIDADES Y LOS
RECURSOS NECESARIOS PARA MANTENER LA EFICACIA DEL
CONTROL INTERNO EN TODA LA ENTIDAD TRANSFORMADA,
INCLUYENDO LAS HABILIDADES NECESARIAS PARA
ABORDAR LOS OBJETIVOS NO FINANCIEROS. DESARROLLAR
PLANES APROPIADOS DE GESTIÓN DEL TALENTO.
CONSIDERE SU PROPIO NIVEL DE HABILIDADES
TECNOLÓGICAS Y RELACIONADAS CON LOS DATOS EN EL
CONTEXTO DEL CONTROL INTERNO E IDENTIFIQUE LAS
OPORTUNIDADES DE DESARROLLO PERTINENTES.
APRECIAMOS QUE LAS HABILIDADES DEBEN REFRESCARSE
CONTINUAMENTE, TANTO EN TECNOLOGÍA COMO EN LA
VISIÓN PARA LOS NEGOCIOS Y LAS HABILIDADES
INTERPERSONALES. ASEGÚRESE DE QUE ESTÉN
IMPLEMENTADAS LAS INICIATIVAS CORRESPONDIENTES.
FIGURA 3.5:Un modelo potencial de conjunto de habilidades en el contexto del control interno
Cultura de riesgo Tecnología
Conocimiento de la entidad y la industria.
18 Un concepto desarrollado por Maister et al. en su libro de 2002,El asesor de confianza, desde que se actualizó (Maister et al. 2021).
La importancia de Big Data y el proceso de transformación
requiere que cada línea del modelo de tres líneas deba garantizar
que el personal tenga las habilidades adecuadas para gestionar
los riesgos. En un momento en que, para muchas entidades, los
recursos están limitados por varias razones, esto presenta un
desafío importante, pero que no se puede ignorar.
Un director ejecutivo de auditoría que trabaja en una empresa multinacional
global en India comentó que existe un nivel de expectativa en relación con
las habilidades necesarias para respaldar el análisis y las consultas de datos,
y opinó que las habilidades con hojas de cálculo ya no son suficientes. 'Ahora
hay una cierta cantidad de codificación básica [que] esperaríamos. Al menos,
cada miembro del equipo debe ser capaz de aplicar [un] cierto nivel básico
de codificación por sí mismo, luego acudir a un especialista, porque todavía
no se le llama especialista. Esta es la nueva realidad de hoy y mañana que
necesita tener estos elementos básicos. Estos conjuntos de habilidades [son]
ya no especialistas'. Este participante señaló que las habilidades de
codificación son ahora tan necesarias como lo fueron las habilidades de
Excel en el pasado.
Un CFO reflexionó sobre el impacto de la automatización en los flujos de
procesos y los conjuntos de habilidades que se necesitarán para un entorno
de control interno eficaz en el futuro. 'Tiene un desajuste de habilidades
donde ha mejorado las eficiencias generalmente en trabajos de grado
inferior, liberando capacidad, pero las habilidades que necesita están en
trabajos de grado superior. Has creado espacio, pero hay un desajuste de
habilidades, lo que creo que es un desafío para nosotros en la forma en que
abordamos el control'.
Un entrevistado sugirió el siguiente modelo para describir el
conjunto de habilidades necesarias en una entidad desde la
perspectiva del control interno (Figura 3.5).
Como implica la Figura 3.5, las habilidades técnicas ya no son
suficientes por sí solas. En un entorno en transformación, tener un
conocimiento operativo sólido de la entidad y su industria es clave, al
igual que las habilidades interpersonales para poder comunicar este
conocimiento de manera efectiva y, por lo tanto, establecer relaciones
de confianza con las partes interesadas en todos los niveles.
Datos Transformación ESG Agilidad
Habilidades interpersonales
37
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO

3.7 Consideraciones sobre datos en tiempo real norte usar informes para monitorear el desempeño del proceso,

La capacidad de revisar grandes volúmenes de transacciones en tiempo real identificar tendencias y aislar valores atípicos para la investigación

puede ser una necesidad para muchas entidades, pero es un desafío a norte usar el flujo de trabajo de manera inteligente para documentar las
medida que aumentan los volúmenes de datos y se amplía el perfil de riesgo actividades de control
potencial. El control interno ha sido tradicionalmente una actividad reactiva.
norte utilizando desarrollos a medida y herramientas de usuario final, como
Revisa las transacciones en cada línea del modelo de tres líneas, ya sea a
RPA, para desarrollar controles de monitoreo.
medida que ocurren o en un punto en el tiempo después de que ocurrieron.
Con el aumento de la velocidad y la veracidad de las transacciones, para
Varios participantes de la mesa redonda destacaron la falta de
muchos participantes de mesas redondas y entrevistados esto se había
evidencia sólida como una barrera para la automatización.
vuelto cada vez más desafiante. Para algunos, especialmente en la tercera
línea, proporcionar La integración de la supervisión continua y los controles
las observaciones sobre transacciones que habían pasado mucho tiempo automatizados dentro de la estructura general de control interno
parecían plantear dudas sobre su relevancia para la entidad. es esencial si las entidades van a gestionar los mayores volúmenes
de datos de manera eficaz en un entorno operativo transformado.
El potencial de usar técnicas de inspección de datos como el código
La Figura 3.6 proporciona una vista que vincula los componentes
embebido para identificar patrones potenciales en las transacciones
de controles automatizados (a nivel de validación de datos),
en tiempo real ofrece una oportunidad no solo para hacer que el
análisis e información en tiempo real (supervisión del rendimiento
desempeño de un control sea más proactivo sino también para
a nivel empresarial) y supervisión continua (ofrecer atestación). La
aumentar el valor agregado a las entidades.
combinación de estas tres técnicas será fundamental para un
esquema de control integrado en las entidades del futuro.
Para las entidades que existen en un entorno operativo de rápido
movimiento, el cambio es una constante. Los procesos comerciales se
refinan y adaptan constantemente. Para muchas entidades, el ciclo
tradicional de cambios operativos y de procesos periódicos ha sido
reemplazado por un cambio continuo. El desafío para los responsables FIGURA 3.6:Rol del monitoreo continuo y análisis en
tiempo real
del control interno es que cualquier revisión retrospectiva puede ser
irrelevante, ya que el proceso puede haber cambiado desde que se
Controles integrados
recopilaron los datos.

Es importante lograr un equilibrio entre el monitoreo continuo de

datos y la identificación de transacciones que puedan requerir una
mayor investigación, con la evaluación de riesgos estratégicos y el
trabajo de auditoría posterior. Separar estos dos canales de la Tiempo real
Continuo
segunda y tercera línea puede resultar imprescindible. Algunos de los análisis y
vigilancia
visión
participantes de la mesa redonda comentaron que el monitoreo
continuo es una actividad de segunda línea. Sin embargo, solo es
efectivo si se toman medidas una vez que se ha levantado una
bandera roja. La tercera línea debe considerar qué tan efectivos son
los procedimientos de seguimiento.

Un entrevistado con sede en la India reflexionó sobre el desafío de Controles automatizados

los tamaños de muestra o selección pequeños en relación con los
grandes volúmenes de datos en poder de las entidades. 'La cobertura
y las variaciones que existen [hacen que sea un desafío] para usted
concluir que los controles internos son apropiados y están diseñados
adecuadamente. ¿Cómo llega a esa conclusión con un tamaño de
Flujos de datos en tiempo real
muestra tan pequeño, que es lo que se recomienda en muchas de las
notas de orientación? Creo que ahí es donde entra en juego la
importancia de la analítica. Eso le brinda una cobertura más amplia, y
[en] una manera mucho más científica [en oposición a una selección]
y enfocada'. DESARROLLAR Y PROMULGAR UNA ESTRATEGIA PARA EL
MONITOREO CONTINUO QUE ESTÉ ALINEADA CON EL
La automatización eficiente de los controles depende de VOLUMEN DE DATOS ESPERADO.
varios factores:

norte una comprensión de las capacidades de la aplicación para ASEGURARSE DE QUE HAYA UN APROPIADO
validar transacciones como parte del flujo de trabajo EQUILIBRIO ENTRE CONTROLES MANUALES Y
AUTOMATIZADOS Y BUSCAR EVITAR REDUNDANCIA Y
norte incorporar en ese flujo de trabajo los niveles apropiados de DUPLICACIÓN EN LOS CONTROLES.
supervisión

38
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO
3.8 Gobierno de datos: ¿una cuestión de
control interno?
Si el control interno va a ampliar su alcance para abarcar datos que se
utilizan tanto para el rendimiento financiero como para el no financiero
y para los objetivos de presentación de informes, entonces la
integridad de esos datos se vuelve cada vez más importante. No
obstante, desde una perspectiva diferente, este es también el objetivo
de los encargados del gobierno de datos. Un director ejecutivo de
auditoría de los EE. UU. que participó en la mesa redonda de América
del Norte comentó: 'la gobernanza de datos es un problema real y
hasta que tenga una gobernanza de datos adecuada, todos los marcos,
todos los controles o los principios de los que habla cualquier marco de
control interno... no ser relevante'.
Un participante de la mesa redonda del Reino Unido comentó que:
'la columna vertebral de la tecnología que tiene datos consistentes
o estructuras de datos consistentes capaces de proporcionar la
medición de los resultados [estratégicos] [es necesaria]. Entonces,
lo que las juntas y los comités de auditoría quieren saber es, ¿dónde
estamos en ese viaje para lograr esos resultados? ¿Qué se
interpone en el camino de eso? ¿Cuáles son los riesgos y qué tipo
de entorno de control [necesitamos] si queremos gestionarlos y
mitigarlos de la manera más económica, eficiente y eficaz?'.
La Tabla 3.1 proporciona una comparación de los objetivos de
control interno y gobierno de datos en las entidades. Demuestra
áreas significativas de interés común.
TABLA 3.1:Principios de control interno frente a gobierno de datos
PRINCIPIOS DE CONTROL INTERNO
norte Establecer responsabilidades
norte Mantener registros
norte Asegure los activos vinculando a los empleados clave
norte Separe las funciones
norte Rotación obligatoria de empleados Dividir la
norte responsabilidad de las partes relacionadas Usar
norte controles tecnológicos Realizar revisiones
norte periódicas independientes
FIGURA 3.7:Marco de gestión de riesgos empresariales de COSO
Fuente: COSO (2017)
39
Para muchos participantes de la mesa redonda, una alineación más
estrecha entre los encargados de cumplir los objetivos de control
interno y los que garantizan el gobierno de datos en una entidad era
esencial para el futuro.
Mientras que los responsables del gobierno de datos son
responsables ante la gerencia por la integridad de los flujos de
datos, los encargados del control interno (y la auditoría interna)
son responsables ante grupos como el comité de auditoría. Ambos
tienen intereses comunes en la integridad y precisión de los datos
y, a medida que aumentan los requisitos de control interno en los
datos financieros y no financieros, las áreas de interés común se
superpondrán cada vez más.
ASEGURAR LA ALINEACIÓN ENTRE LOS OBJETIVOS DE
GOBIERNO DE DATOS Y CONTROL INTERNO EN LA
ENTIDAD Y FORTALECER LOS PROCEDIMIENTOS QUE
GARANTIZAN LA INTEGRIDAD Y EXACTITUD DE LOS
DATOS TANTO FINANCIEROS COMO NO
FINANCIEROS.
3.9 Una cuestión de estrategia y cultura
La consideración final para muchos de los participantes de la
mesa redonda fue la alineación del control interno con la
estrategia de la entidad y con su cultura. Esto se puede capturar
en el marco COSO Enterprise Risk Management (ERM) de 2017
(Figura 3.7).
PRINCIPIOS DE GOBERNANZA DE DATOS
norte Garantizar la rendición de cuentas
norte Aplicar normas y reglamentos estándar Garantizar
norte la administración de datos
norte Establecer estándares de calidad de datos
norte Garantizar la transparencia
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO
Varios expresaron la opinión de que las actividades de control interno
se estaban realizando por el bien del cumplimiento y no porque
hubiera un riesgo específico que se estuviera controlando.
Argumentaron que era necesario lograr un equilibrio. Un director
ejecutivo de auditoría con sede en el Reino Unido proporcionó una
perspectiva ligeramente diferente, comentando que: '[como]
funciones de control olvidamos [el] elemento de control del apetito
por el riesgo, y es "cinturón y tirantes" todo el tiempo, y creo que la
pandemia nos ha ayudado a tener un poco más de perspectiva sobre
eso'.
Había una sensación de que la brecha entre el control de los
riesgos reales y las actividades de cumplimiento estaba
aumentando en línea con el aumento de los flujos de datos y la
implementación de la tecnología. Si los controles manuales se
repiten mediante controles automatizados, esta duplicación
reduce la eficacia del entorno de control en general. El control
debe ser rentable.
Existe un marco de control interno para 'brindar una
seguridad razonable con respecto al logro de los
objetivos relacionados con las operaciones, la
presentación de informes y el cumplimiento' (COSO
2013). Implícito en esto está el vínculo con la gestión del
riesgo. Eso solo puede lograrse mediante una fuerte
cultura de gestión de riesgos y un refuerzo del
propósito del control interno. Esta cultura debe ser
establecida por los principales líderes de la entidad.
Algunos participantes de la mesa redonda
argumentaron que este vínculo se estaba debilitando.
Muchos destacaron la importancia de una gestión eficaz
del riesgo empresarial y su fuerte vínculo con los
objetivos de control interno. Un director ejecutivo de
auditoría del Reino Unido comentó:
Los participantes informaron una creciente sospecha del
propósito del control interno entre aquellas generaciones que
ahora ingresan al lugar de trabajo. Su nivel tecnológico
40
la alfabetización y su familiaridad con la tecnología eran una
parte esencial de sus vidas, y se consideró que su creencia de que
"la computadora siempre tiene la razón" corría el riesgo de
debilitar el control interno. Para que el control interno sea
efectivo, debe entenderse que requiere una combinación de
personas, procesos, tecnología y datos. Si incluso uno de estos
componentes no es eficaz, entonces se reduce la eficacia del
marco de control interno.
Un participante de la mesa redonda australiano comentó: "Creo que en
la era digital con el gobierno de datos y los controles internos, la
cultura será más importante a medida que los controles se integren
realmente en los sistemas y la tecnología automatizados".
Varios participantes de la mesa redonda y entrevistados
contrastaron las actitudes culturales hacia el control interno con su
impacto en las entidades. En parte, esto se puede ver en las
variaciones en las respuestas a la encuesta, especialmente cuando
se correlaciona con la falta de supervisión de la junta (Figura 1.4),
donde las opiniones difieren entre Europa occidental y América del
Norte, por un lado, y los de Oriente Medio, Sur y Oriente Medio.
Asia y Asia-Pacífico. Esto también puede atribuirse a diferentes
percepciones de la regulación y variaciones en las estructuras de
propiedad.
REFORZAR LA IMPORTANCIA DE LA GESTIÓN DE
RIESGOS Y EL CONTROL INTERNO DE FORMA
CONTINUA EN TODA LA ENTIDAD.
REFORZAR LA NECESIDAD DE SER ÓPTIMOS EN
EL DESARROLLO E IMPLEMENTACIÓN DE UN
MARCO DE CONTROL INTERNO,
ESPECIALMENTE CUANDO ESTÁ CADA VEZ MÁS
HABILITADO POR LA TECNOLOGÍA.
CUESTIONE LA SUPOSICIÓN DE QUE LA 'COMPUTADORA
ES CORRECTA' EN TODAS LAS CIRCUNSTANCIAS AL
CONSIDERAR LOS CONTROLES INTERNOS.
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO

3.10 Implicaciones para los marcos de ¿El marco de control interno de COSO debe ampliarse y rehacerse por

control interno
En esta discusión de las consideraciones futuras para el control
interno, es importante reflexionar sobre los marcos que
utilizamos como base para establecer el entorno de control.
completo? no lo hace Creo que la mayor deficiencia que veo [en
relación] con los marcos es [que] la aplicación práctica a
[posiblemente] áreas más complejas [se] está quedando realmente
atrás'. Un participante de la mesa redonda australiano comentó que:
'los controles se implementan a través de procedimientos, que se

La Figura 3.8 muestra que los encuestados en general promulgan en una [entidad]. En estos días, la mayoría de los

(62 %) estaban de acuerdo o muy de acuerdo con que la procedimientos viven dentro de cajas electrónicas y con el costo de

guía regulatoria actual reflejaba la naturaleza de su modificar los sistemas informáticos, los procedimientos internos no

modelo operativo. van a cambiar mucho dentro de los sistemas informáticos para que el
negocio pueda seguir adelante. Los procedimientos que bien podrían
Un análisis de las respuestas de aquellos que están de acuerdo o haber sido correctos cuando fueron escritos, nunca cambian. Eso
muy de acuerdo con esta propuesta muestra alguna variación por puede ser un problema significativo [para la entidad]'.
región (Figura 3.9).

Muchos de los participantes de la mesa redonda y
entrevistados coincidieron con esta perspectiva. Los marcos
básicos a los que se referían, como el Control Interno COSO
– Marco Integrado, los Objetivos de Control para la
Tecnología de la Información (COBIT®) desarrollados por
ISACA, y el marco SOC 2 desarrollado por AICPA.
Como se ha demostrado en este informe, es en el nivel práctico donde
se desafía a las personas. Un participante en la mesa redonda de EE.
UU. y Canadá preguntó: '[¿Piensa la gente que] el
Existe una apreciación de la necesidad de adoptar la
digitalización y la transformación, pero la falta de comprensión
de cómo hacerlo se citó como una barrera. Cualquier
orientación será, inevitablemente, genérica y, si bien puede
proporcionar un elemento de apoyo, no puede proporcionar el
contexto específico en el que un profesional de contabilidad y
finanzas, dondequiera que opere en cualquier línea, necesitará
aplicarla. Eso debe provenir, en parte, de una apreciación de las
propias tecnologías y la gestión de los datos.

FIGURA 3.8:¿En qué medida está de acuerdo o en desacuerdo con que la guía regulatoria sobre control interno refleja
la naturaleza del modelo operativo actual? (n = 1956)
50%
48%

40%

30%

20% 21%

14%
10%
7% 8%
2%
0%
Muy en desacuerdo Discrepar ni de acuerdo Aceptar Totalmente de acuerdo no sé
ni en desacuerdo

FIGURA 3.9:¿En qué medida está de acuerdo o en desacuerdo con que la guía regulatoria sobre control interno refleja la
naturaleza del modelo operativo actual? Análisis por región de las respuestas de acuerdo y muy de acuerdo. (n=1950)

África 71%

Asia del Sur 70%

Oriente Medio 70%

Asia-Pacífico 66%

Europa central y del este 60%

caribe 57%

América del norte 55%

Europa Oriental 48%

0% 10% 20% 30% 40% 50% 60% 70% 80%

41
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|3. EVOLUCIÓN DE NUESTRO PENSAMIENTO

MUCHOS RESALTARON LA IMPORTANCIA DE

LA GESTIÓN EFECTIVA DEL RIESGO
EMPRESARIAL Y SU FUERTE VÍNCULO CON
LOS OBJETIVOS DE CONTROL INTERNO.

42
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|CONCLUSIÓN
Conclusión
El control interno sigue siendo un concepto fundamental para las
entidades y los responsables del gobierno. Las partes interesadas
buscan cada vez másgarantíasobre una gama más amplia de
divulgaciones de entidades, lo que a su vez requiere la extensión del
marco de control interno a través de más flujos de procesos, algunos
de los cuales no han estado previamente dentro del alcance del Modelo
de Tres Líneas del IIA.
La disponibilidad del derechohabilidadeses fundamental para el
mantenimiento de controles internos efectivos. Estas habilidades se
están ampliando más allá de lo puramente financiero y debe haber un
reconocimiento de esta necesidad ampliada y la consiguiente inversión
requerida tanto por entidades como por individuos.
Tecnologíacontinúa avanzando. Este avance muestra signos de
aceleración a medida que los datos y las aplicaciones y procesos que
los respaldan se vuelven esenciales en el entorno empresarial ágil. El
control interno debe ser parte fundamental de estetransformación; no
es una ocurrencia tardía que se compensa con controles manuales. Las
entidades operan entiempo real; por lo tanto, los controles deben
operar a través de enfoques como el monitoreo continuo para
mantener el ritmo de las actividades de las entidades que los operan.
Si las entidades van a integrarseinformes no financieros
objetivos en sus controles internos, debe reconocerse que los
datos para esto son menos sólidos y más variados en su
naturaleza y sus fuentes que los datos financieros.
PARA APOYAR LA TRANSFORMACIÓN DEL NEGOCIO Y AUMENTAR EL
VALOR DE LA EMPRESA, EL MISMO CONTROL INTERNO DEBE
TRANSFORMARSE CONSTANTEMENTE PARA SER ADECUADO PARA
SU PROPÓSITO EN UN ENTORNO DIGITAL Y DISRUPTIVO, Y ESTO
REQUIERE CAPACITACIÓN Y MEJORA.
43
Se necesita tecnología, así como una sólida gestión de datos y un
estrecho vínculo condato de governanciaobjetivos
Para respaldar todos estos aspectos de la transformación y
continuar teniendo controles internos efectivos, se necesita una
guía más relevante para apoyar a los profesionales y se necesitan
iniciativas de educación continua para desarrollar las habilidades
requeridas. Esto se aplica no solo al uso de las propias tecnologías
transformadoras, sino también a nuestra comprensión del
entorno de control de TI que las respalda.
La conclusión es que el valor del control interno se extiende mucho
más allá de la presentación de informes y el cumplimiento estatutario
para respaldar las divulgaciones financieras externas. En un entorno
empresarial que cambia rápidamente y se expande (incluidos
impulsores como los desarrollos tecnológicos y ESG), el control interno
eficaz ayuda a generar seguridad, confianza y reputación. Además,
para respaldar la transformación empresarial y aumentar el valor de la
empresa, el propio control interno debe transformarse
constantemente para adaptarse a su propósito en un entorno digital y
disruptivo, y esto requiere capacitación y mejora de las habilidades.
Esta es una gran oportunidad para que los profesionales de
contabilidad, finanzas y auditoría interna aumenten su relevancia e
influencia.
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|GLOSARIO

Glosario
Aditivo AM, o fabricación aditiva de capas (ALM) es el nombre de producción industrial para la impresión 3D, un proceso
fabricación (AM) controlado por computadora que crea objetos tridimensionales depositando materiales, generalmente en capas.

Ágil En el desarrollo de software, las prácticas ágiles (a veces escrito Agile) incluyen el descubrimiento de requisitos y la mejora de
soluciones a través del esfuerzo colaborativo de equipos multifuncionales y autoorganizados con su(s) cliente(s)/usuario(s)
final(es), planificación adaptativa, desarrollo evolutivo, desarrollo temprano entrega, mejora continua y respuestas flexibles a los
cambios en los requisitos, la capacidad y la comprensión de los problemas a resolver.

Proceso de análisis APA es una tecnología que permite a cualquier persona en una entidad compartir datos fácilmente, automatizar procesos tediosos y complejos y convertir
automatización (APA) datos en resultados.

Solicitud API es una conexión entre computadoras o entre programas de computadora. Es un tipo de interfaz de software que ofrece un
programación servicio a otras piezas de software.
interfaz (API)

Sistema autónomo Un AS en redes es una colección de uno o más prefijos de Protocolo de Internet (IP) asociados con una política de enrutamiento
(COMO) claramente definida que rige cómo el AS intercambia información de enrutamiento con otros sistemas autónomos.

COBIT Un marco creado por ISACA para la gestión y el gobierno de TI. <https://www.isaca.org/resources/cobit>.

Control interno COSO Ayuda a las entidades a diseñar e implementar el control interno considerando los muchos cambios en los entornos
– marco integrado comerciales y operativos. <https://www.coso.org/Pages/default.aspx>.

Automatización inteligente IA, o alternativamente, automatización de procesos inteligente (IPA), es un término de software que se refiere a una combinación de IA y
(I A) automatización de procesos robóticos (RPA - qv).

Control interno Un proceso para asegurar los objetivos de una entidad en cuanto a eficacia y eficiencia operativa, información financiera fiable y
cumplimiento de las leyes, reglamentos y políticas. Un concepto amplio, el control interno involucra todo lo que controla el riesgo
de una entidad.

Control interno La actitud general, el conocimiento y las acciones de los directores y la gerencia (es decir, 'los encargados del gobierno corporativo')
ambiente hacia el sistema de control interno y su importancia para la entidad. Se expresa en el estilo de gestión, la cultura corporativa, los
valores, la filosofía y el estilo operativo, la estructura de la entidad y las políticas y procedimientos de recursos humanos.

Control interno Una guía estructurada que organiza y clasifica sistemáticamente los controles esperados o temas de control.
estructura

Controles generales de TI Los ITGC son controles que se aplican a todos los sistemas, componentes, procesos y datos de una determinada entidad o entorno
(ITGC) de tecnología de la información (TI). Los objetivos de los ITGC son garantizar el correcto desarrollo e implementación de las
aplicaciones, así como la integridad de los programas, archivos de datos y operaciones informáticas.

Código bajo / Sin código Las plataformas de desarrollo de código bajo/sin código son tipos de entornos de desarrollo de software visual que permiten a los
desarrolladores empresariales y ciudadanos arrastrar y soltar componentes de aplicaciones, conectarlos entre sí y crear
aplicaciones móviles o web.

Modelado de procesos El modelado de procesos es la representación gráfica de procesos de negocio o flujos de trabajo. Como en un diagrama de flujo, se
dibujan los pasos individuales del proceso para que haya una visión general de las tareas del proceso dentro del contexto del
entorno empresarial.

Microservicios Una pieza autónoma de funcionalidad comercial con interfaces claras que puede, a través de sus propios componentes internos,
implementar una arquitectura en capas. Los microservicios se pueden implementar para abordar una necesidad comercial a corto
plazo, lo que a menudo implica desarrollos rápidos que utilizan aplicaciones de componentes.

Frecuencia de radio RFID utiliza campos electromagnéticos para identificar y rastrear automáticamente las etiquetas adheridas a los objetos.
identificación (RFID)

Proceso robótico RPA es una forma de automatización de procesos comerciales que permite que cualquier persona defina un conjunto de instrucciones para que las realice un robot o 'bot'.
automatización (RPA) Los bots RPA son capaces de imitar la mayoría de las interacciones entre humanos y computadoras para llevar a cabo rápidamente tareas de gran volumen sin errores.

SOC 2® – SOC para Estos informes están destinados a satisfacer las necesidades de una amplia gama de usuarios que necesitan información detallada y garantías
Organizaciones de Servicios: sobre los controles en un proveedor de servicios, relevante para la seguridad, disponibilidad e integridad del procesamiento de los sistemas que
Criterios de servicios de confianza el proveedor de servicios utiliza para procesar los datos de los usuarios y la confidencialidad y privacidad de la información procesada por estos
sistemas. <https://us.aicpa.org/interestareas/frc/assuranceadvisoryservices/aicpasoc2report>.

El modelo de las tres líneas Ayuda a las entidades a identificar estructuras y procesos que ayuden de manera más efectiva al logro de los
objetivos y faciliten un gobierno y una gestión de riesgos sólidos. <https://www.theiia.org/globalassets/site/about-us/
advocacy/three-lines-model-updated.pdf>.

modelo de cascada El modelo en cascada es un desglose de las actividades del proyecto en fases secuenciales lineales, donde cada fase
depende de los entregables de la anterior y corresponde a una especialización de tareas. El ciclo de vida de desarrollo de
sistemas es un ejemplo de esto.

44
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|APÉNDICE: ENCUESTA DEMOGRÁFICA

Apéndice–
Datos demográficos de la encuesta
La encuesta que formó parte de las actividades de investigación para este informe recibió 1.956 respuestas de miembros de ACCA,
IMA e IIA en todo el mundo. Un análisis de estas respuestas se da en los siguientes gráficos.

Supuestos generales
norte Con fines de coherencia, la mayor parte del análisis utilizó datos globales agregados, que incluían información de toda la
población encuestada.
norte La encuesta se realizó en línea en marzo de 2022.

Análisis de respuestas

Figura A1: Respuestas por región (n = 1956) Figura A4: Respuestas por encuestado (n = 1956)

norteEuropa Oriental,24% nortePrincipalmente en los negocios (como

norteÁfrica,21% trabajar en un equipo de finanzas,
contabilidad o auditoría interna o
norteAsia-Pacífico,19%
proporcionar servicios financieros en
norteAmérica del norte,12% toda la organización),80%
norteAsia del Sur,10% norte
nortePrincipalmente en público u otros
Oriente Medio,6% norte práctica (como una firma de
Caribe,4% contabilidad y realización de auditorías,
certificaciones, asesorías y/o
norteEuropa Central y del Este,3%
impuestos),20%
norteAmérica Central y del Sur,1%

Figura A2: Respuestas por sector (n = 1.816) Figura A5: Respuestas por rol (n = 1,854)

norteSector corporativo - norteAuditor interno /

tamaño pequeño/mediano,20% cumplimiento financiero,13%

norteSector empresarial: grande,20% norteContador financiero,11% norteGerente

norteSector público,13% de Finanzas / Operaciones,8% norteDirector
norteServicios financieros - Financiero (CFO),7% norteGerente de
tamaño pequeño/mediano,9%
Auditoría,7%
norteServicios financieros: grandes,8%
norteControlador financiero /
nortesin fines de lucro,7%
Jefe de Cumplimiento,6%
nortePequeño o mediano
norteJefe de Finanzas / Director,6%
práctica (SMP),7%
norteGerente Senior de Auditoría,4%
norteOtro,6%
nortefirma de contabilidad Big Four,4% norteConsultor,4%

norteActualmente no trabaja/interrupción de carrera/ norteAdministrador de cuentas,4%

jubilado,3% norteAuditor externo,3% norteOtro,
norteFirma contable de nivel medio,2% 27%
norteOtra firma contable internacional,1%

Figura A3: Respuestas por tamaño de entidad (n = 1850)

norte0 – 9 empleados,8% norte

10 - 49 empleados,14% norte50
– 249 empleados,21% norte250 –
999 empleados,20% norte1,000
+,37%

45
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|AGRADECIMIENTOS
Agradecimientos
Se agradecen las contribuciones de las siguientes personas en el desarrollo de esta investigación.
Khyam Abdulah,Pan-American Life Assurance Group,
Trinidad y Tobago
hashim ahmed,Jaguar Mining Inc, Canadá Alper
Alptekin,SOCAR Turquía, Turquía Sandy Ardern,TD
Asset Management, Canadá Victoria Armitage,GT,
República de Irlanda eban bari,Metales preciosos de
triple bandera, Canadá valle baynes,Banco de la
Commonwealth, Australia Roberto Bella,Smip
Consultancy, Kenia Michael Bencsik,Cacel Pty
Limited, Nueva Zelanda Stan Bigford,Trenton Cold
Storage Inc, Canadá
Ruxandra Bilio,Baker Tilly Klitou & Partners SRL e IIA
Rumania, Rumania
harry briggs,KPMG LLC, Reino Unido
Dermot Byrne,An Roinn Caiteachais Phoiblí agus
Athchóirithe, República de Irlanda
Ömer Çetin,KPMG, Turquía
Lisa Coulman,Corporación Nobul, Canadá Niko
Džepina,Asseco Europa Central, Eslovaquia Carly
Eaton,Grupo Financiero Provident, Reino Unido
Andrew Elsby Smith,Amtico, Reino Unido Alex Falcón
Heurta,Halcón volador, Reino Unido Rashika
Fernando,Computadoras MDC, Canadá krystal
george,TTPOST, Trinidad y Tobago Anirban Ghosh,
Wipro Ltd, India
Lee Glover,Haines Watson Controls & Assurance, Reino Unido
jaime brezo,Black Rock, Reino Unido hussein hussein,
Deloitte, Australia
Paul D Hyman,Terminal de puerto libre de Kingston, Jamacia
Mir Fahad Iqbal,Northern Trust Corporation, EE. UU. Ashish
Javer,Barclays, India Jodi José,Adapt IT, Sudáfrica Javier
Jurado,Banco de EE. UU., EE. UU. Pablo Kaczmar,Página de
Michael, Reino Unido
Esteban Kenny,Banco de Irlanda, República de Irlanda
paula kensington,Asesoramiento PK, Australia Raúl Kumar,
EY, India
Jaishree Lam,Energía y Luz de Guayana, Guayana
Leong,Singapur
thea j lowe,Servicios de consultoría TJL, Barbados
Olga Lukashenko,Reanda Países Bajos, Países Bajos
reshma mahase,Davidson & Co LLP, Canadá Natalia
Makoni,Servist, Sudáfrica Luka Matkovic,Chequia
Nauman Mian,bayt.net, Emiratos Árabes
Unidos Maja Milosavljevic,OMV, Austria
46
David Minas,Alquiler de coches y camiones con descuento. Canadá Thapelo
Modisagae,Segmento de habilitación de FNB, Sudáfrica
Julio Mojapelo,Instituto de Auditores Internos de
Sudáfrica, Sudáfrica
brad montierio,El Instituto de Auditores Internos, EE. UU.
Kelvin Musana,Standard Chartered, Uganda AV. murales,
Banco Standard Chartered, India ian ng,AMMEGA, China
continental
Ebuka (Rafael) Nkemdilim,Universidad Wilfrid Laurier, Canadá
Joyce Nkini-Iwisi,Riesgos de control, Nigeria rolanke oladapo,
Riesgos de control, Sudáfrica José Owolabi,Rubicola, Australia
Shreyash Pai,Espacio de vida, India Siobhan Pandya,Mary Kay Inc,
EE. UU.
miguel parkinson,Consultoría de Michael Parkinson, Australia
Ana Patterson,Centro St. Felix, Canadá Atif Pérez,Universidad de
Athabasca, Canadá
Juzar Pirbhai,Junta Canadiense de Responsabilidad Pública,
Canadá mihaela pop,WPP, Australia Melanie Proffit,Finca
Farncombe, Reino Unido Jürgen Puhler,BASF SE, Alemania
Parthasarathy Ramaswamy,Precio RGN & Co, India Beate
Randulf,Banco Nacional de Grecia, Grecia Rahul Ranjan,India
simón rosa,Crest Nicholson, Reino Unido Brendan
Sheehan,Escuderos blancos, Australia brezo
smith,Consultoría ANISE, Australia Mustafa
Sonmez,ÜNLÜ & Co, Turquía Neville de Spretter,
AdLibero2 Ltd, Reino Unido
sarvanan srinivasan,Súper Stahl Private Limited, India
Dirk Strydom,Instituto de Auditores Internos de Sudáfrica,
Sudáfrica
sachin tayal,Protiviti, India leslie thompson,TRG,
EE. UU. Senol Toygar,TEB, Turquía Brian
Tremblay,Onapsis Inc, EE. UU. Engin Turan,
Banco Alternafi, Turquía Roberto van der Klauw,
Munich Re, Emiratos Árabes Unidos
ACCA, IMA y la IAF también quisieran agradecer a todos aquellos que
amablemente completaron la encuesta.
Autores
clive webb,Responsable de Gestión Comercial, ACCA
Laura LeBlanc,Director – Investigación y Perspectivas, Instituto de
Auditores Internos
Loreal Jiles,Vicepresidente, Investigación y Liderazgo de
Pensamiento, Instituto de Contadores Gerenciales
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|REFERENCIAS
Referencias
ACA (2020),El contador digital: habilidades digitales en un mundo
transformado, <https://www.accaglobal.com/gb/en/professional-insights/
technology/The_Digital_Accountant.html>, consultado el 1 de abril de 2022.
ACA (2021),Contadores profesionales en el corazón de las organizaciones
sostenibles, <https://www.accaglobal.com/ gb/en/professional-insights/pro-
accountants-the-future/proaccountants-heart-sustainable-orgs.html>,
consultado el 3 de abril de 2022.
ACCA / CA ANZ (Contadores Públicos de Australia y Nueva Zelanda) /
Generation CFO (2021),Viajes de transformación: finanzas y la
organización ágil, <https://www.accaglobal. com/gb/en/
professional-insights/technology/transformationaljourneys.html>,
consultado el 1 de abril de 2022.
ACCA/CA ANZ/KPMG (2018),Adoptar la automatización robótica
durante la evolución de las finanzas, <https://www.accaglobal.com/ gb/
en/professional-insights/technology/embracing-roboticautomation-
durante-la-evolución-de-las-finanzas.html>, consultado el 3 de abril de
2022.
ACCA / CA ANZ / Universidad Macquarie (2019),Cyber y el CFO, <
https://www.accaglobal.com/gb/en/professional-insights/technology/
cyber-and-the-cfo.html>, consultado el 3 de mayo de 2022.
ACCA / IMA / CIPS (Instituto Colegiado de Adquisiciones y Suministros)
(2022),Cadenas de suministro: la perspectiva de un profesional de las
finanzas, <https://www.accaglobal.com/gb/en/professionalinsights/global-
profession/supply-chains-post-pandemic-world. html>, consultado el 3 de
abril de 2022.
ACCA/PwC (2021),Funciones financieras: aprovechar la oportunidad, <
https://www.accaglobal.com/gb/en/professional-insights/ pro-accountants-
the-future/finance-functions-seize-opportunity. html>, consultado el 1 de
abril de 2022.
Alspach, K, (2022),Los ataques de ransomware se duplicaron en
2021, informa SonicWall, <https://venturebeat.com/2022/02/17/
ransomware-atacks-surged-2x-in-2021-sonicwall-reports/>, consultado
el 3 de mayo de 2022.
Ashby, S., Bryce. C. y Anillo, P. (2019),Riesgo y rendimiento:
integración de la gestión de riesgos, <https://www.accaglobal.com/
content/dam/ACCA_Global/professional-insights/embeddingrisk/pi-
embedding-risk-management.pdf>, consultado el 3 de mayo de 2022.
Burns, J., Steele, A., Cohen, EE y Ramamoorti, S. (2021), Blockchain
y control interno: la perspectiva COSO, <https://www.coso.org/
Documents/Blockchain-and-Internal-Control-The-COSO-
Perspective-Guidance.pdf>, consultado el 19 de abril de 2022.
Calagna, K., Cassidy, B. y Park, A. (2021),Aprovechar todo el potencial de la
inteligencia artificial: aplicar el marco y los principios de COSO para
ayudar a implementar y escalar la inteligencia artificial, <https://
www.coso.org/Documents/Realize-the-Full-Potential-of-Artificial-
Intelligence.pdf>, consultado el 19 de abril de 2022.
COSO (2013),Control Interno – Marco Integrado: Resumen
Ejecutivo, <https://www.coso.org/Documents/990025P-Executive-
Summary-final-may20.pdf>, consultado el 1 de abril de 2022.
COSO (2017),Gestión de riesgos empresariales: integración con la
estrategia y el rendimiento, <https://www.coso.org/Pages/ERM-
Framework-Purchase.aspx>, consultado el 19 de abril de 2022.
COSO (2022),COSO-Board-Aprues-Study-on-Sustainability-ESG, <
https://www.coso.org/news/Pages/COSO-Board-Approves-Study-on-
Sustainability-ESG.aspx>, consultado el 19 de abril de 2022.
47
EFRAG (2022),[Borrador] Norma Europea de Informes de
Sostenibilidad G1: Gobernanza, gestión de riesgos y control
interno, <https://www.efrag.org/Assets/Download?
assetUrl=%2Fsites%2FwebPublishing%2FSiteAssets%2FFinal%2520Draft%2520ESRS%252
>, consultado el 3 de mayo de 2022.
FRC (Consejo de Información Financiera) (2005),Control interno: Guía
revisada para directores sobre el Código Combinado. Descargable desde
<https://www.icaew.com/technical/corporate-governance/codes-and-
reports/turnbull-report>, consultado el 20 de abril de 2022.
Grob, M. y Cheng, V. (2021),Gestión de riesgos empresariales para la
informática en la nube, <https://www.coso.org/Documents/COSO-ERM-
for-Cloud-Computing.pdf>, consultado el 19 de abril de 2022.
Heier, JR Dugan, MT y Sayers, D. (2005), 'Un siglo de debate sobre
controles internos y su evaluación: un estudio de evolución reactiva',
Historia Contable, 10 (3) <https://citeseerx. ist.psu.edu/viewdoc/
download?doi=10.1.1.1023.3544&rep= rep1&type=pdf>, consultado el
1 de abril de 2022.
ICAEW (Instituto de Contadores Públicos de Inglaterra y Gales) (1999),
Control Interno: Orientación para Directores sobre el Código Combinado
, <https://ecgi.global/download/file/fid/9442>, consultado el 1 de abril de
2022.
AII (2020),El modelo de las tres líneas del IIA: una actualización de las
tres líneas de defensa, <https://www.theiia.org/globalassets/site/about-us/
advocacy/three-lines-model-updated.pdf>, consultado el 1 de abril de 2020.
IIA / Consejo de auditoría (2020),Imperativo de transformación digital de
auditoría interna: avances en medio de la crisis, analizando el impacto de
2020 en la implementación de tecnología de las funciones de auditoría
interna, <https://web.theiia.org/cn/atxbg/Dig_Transform_Imperative>,
consultado el 8 de abril de 2022.
ISSB (2022a),[Borrador] NIIF S1 Requisitos generales para la divulgación
de información financiera relacionada con la sustentabilidad, <https://
www. ifrs.org/content/dam/ifrs/project/general-sustainability-
relateddisclosures/exposure-draft-ifrs-s1-general-requirements-
fordisclosure-of-sustainability-related-financial-information.pdf>,
consultado el 3 de abril de 2022.
ISSB (2022b),[Borrador] NIIF S2 Información a revelar relacionada con el
clima, <https://www.ifrs.org/content/dam/ifrs/project/climaterelated-
disclosures/issb-exposure-draft-2022-2-climate-relateddisclosures.pdf>,
consultado el 3 de abril de 2022.
Jiles, L. (2020),Transformando la función financiera con RPA, <https://
www.imanet.org/-/media/8530486050e34be392772 caa088f1162.ashx?
la=en>, consultado el 3 de abril de 2022.
Jiles, L. (2021),Un enfoque ágil para la transformación financiera, <
https://www.imanet.org/-/media/imanet-org/files/insightsand-trends/
thought-leadership/the-future-role-of-managementaccounting/
agileandscrum_sma_report_final.ashx>, consultado el 1 de abril de
2022.
Kelly, M. (2022), 'Por qué los controles generales de TI son importantes
para el cumplimiento y la ciberseguridad' [artículo del sitio web], <https://
hyperproof.io/resource/it-general-controls-compliance/>, consultado el 19
de abril de 2022.
Krumwiede, K. (2016),Automatización de Procesos en Contabilidad y
Finanzas, <https://www.imanet.org/-/media/
58e1aff5f8d74e4c92ac8f097db88321.ashx>, consultado el 1 de abril de
2022.
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|REFERENCIAS
Krumwiede, K. (2017),Cómo conservar tu trabajo, <https://www.imanet.
org/insights-and-trends/the-future-of-management-accounting/ how-to-
keep-your-job?ssopc=1>, consultado el 3 de abril de 2022.
Lauren, D. (2017),La historia de los sistemas de control interno, <
https://bizfluent.com/facts-7203983-history-internal-controlsystems.html
>, consultado el 1 de abril de 2022.
Maister, DH, Galford, R. y Green, C. (2021),The Trusted
Advisor – Edición 20 Aniversario, Prensa Libre.
McPherson, A., y Sydney, C.,Datos completos de riesgo: El nuevo
oro, <https://www.pwc.com/gx/en/issues/risk-regulation/
comprehensive-risk-data-the-new-gold. html?
utm_campaign=5a1d7a5d94a3261aa2024207&utm_
content=6262f8a941a0aa0001902d8e&utm_medium=smarp
share&utm_source=linkedin>, consultado el 3 de mayo de 2022.
Schwab, K. (2015),La Cuarta Revolución Industrial: Qué significa y
cómo responder, Relaciones Exteriores, <https://www.
Foreignaffairs.com/articles/2015-12-12/fourth-industrialrevolution>,
consultado el 3 de abril de 2022.
48
SEC (Comisión de Bolsa y Valores) (2022),La mejora y
estandarización de las divulgaciones relacionadas con el
clima para inversores, <https://www.sec.gov/rules/proposed/
2022/33-11042.pdf>, consultado el 3 de abril de 2022.
Brillo, A., (2020),La Evolución de las Tres Líneas de Defensa, <
https://www.acin.com/la-evolución-de-las-tres-lineas-de-defensa/>,
consultado el 3 de mayo de 2022.
Estadística (2021),Volumen de datos/información creados, capturados, copiados
y consumidos en todo el mundo desde 2010 hasta 2025, Descargable desde <
https://es.statista.com/estadisticas/871513/ datos-mundiales-creados/>,
consultado el 1 de abril de 2022.
Walker, PL (2022),Habilitación de la agilidad organizacional en una
era de velocidad y disrupción, <https://www.coso.org/Documents/
Enabling-Organizational-Agility-in-an-Age-of-Speed-and-Disruption.pdf>,
consultado el 18 de abril de 2022.
Wright, C. (2021),Preparados para el futuro: mejorar hoy para la
profesión del mañana, <https://www.theiia.org/en/content/ research/
foundation/2021/future-ready-upskilling-today-for-the-profession-of-
tomorrow/>, consultado el 3 de abril de 2022 (disponible solo para
miembros del IIA).
EL CONTROL INTERNO Y LA TRANSFORMACIÓN DE LAS ENTIDADES|REFERENCIAS

49
PI-TRANSFORM-INTERNAL-CONTROL

ACAThe Adelphi 1/11 John Adam Street Londres WC2N 6AU Reino Unido / +44 (0)20 7059 5000 /www.accaglobal.com