REFINAMIENTO DEL PLAN D

Auditoría comprendida entre el período

Preparado por: Fecha:
Revisado por: Fecha:
Aprobado por: Fecha:

OBJET

El DEA debe mantener una comunicación permanente con la alta dirección y la segunda línea, mapeando los cambios intern
tal manera que el DEA deba actualizar la matriz de riesgos y controles y el plan de auditoría del período de auditoría.

USUA

De acuerdo con los nuevos riesgos emergentes que afectan los objetivos de la organización, el DEA debe incluirlos en el map
ser evaluados mediante sus actividades de auditoría. El plan anual de auditoría refinado debe ser presentado a la alta direcc

SUGERE

**Se sugiere revisar el siguiente planteamiento de acuerdo a la compañía y ajustar o adicionar de acuerdo a sus necesidades

PLAN DE AUDITORÍA REFINADO CON L

De acuerdo con los eventos internos y externos identificados y riesgos emergentes, se realizan reuniones de alto nivel y con
la actividad de auditoría que da respuesta al nuevo riesgo y se establece una nueva priorización.

El DEA identifica los nuevos riesgos emergentes que afecten el cumplimiento de los objetivos estratégicos de la organizació

MAPA DE RIESGOS EMERGENTES - MATRIZ D

Nivel de impacto
Superior

Mayor

Medio

Bajo

Mínimo

Remoto Ocasional
*Este mapa de calor es un ejemplo y guía de como ubicar los riesgos emergentes en términos de Impacto y Frecuencia.

PRIORIZACIÓN DE LOS RIESGOS EMERGENTES

De acuerdo con los riesgos emergentes evaluados en la organización, debe definir actividades y/o focos de auditoría que den
controles, con el objetivo de evaluar el sistema de control interno de los procesos o actividades de la organización y fortalece

No. CATEGORÍA DEL RIESGO DETALLE DE LOS RIESGOS EMERGENTES

R1 Estratégico

R2 Financiero

R3 Operacional

R4 Cumplimiento

R5 Estratégico

No. CATEGORÍA DEL RIESGO DETALLE DE LOS RIESGOS REFINADOS

R1 Operacional

R2 Estratégico

R3 Financiero

R4 Cumplimiento

R5 Reputacional

R6 Fraude

R7

R8

R9

R10

R11

R12

R13

R14

R15

R16
R17

R18

R19

R20

R21

Para las actividades o focos de auditoría definidos en el plan anual de auditoría se debe establecer un cronograma de ejecuc

No olvidar incluir en el plan de auditoría las actividades recurrentes de control interno (conciliaciones bancarias, arqueos, inv
contratos con proveedores, clientes o solicitudes de entes de control.

• El plan anual de auditoría debe ser comunicado a la organización y a la alta dirección.

• El plan de auditoría refinado debe ser aprobado por el Comité de auditoría o quien haga sus veces.
• Debe presentar al Comité de auditoría las herramientas tecnológicas y especialistas a involucrar en el plan de auditoría.
 REFINAMIENTO DEL PLAN DE AUDITORÍA (Product Backlog)

cha:
cha:
cha:

SI ES MAYOR DE 8
OBJETIVO

nda línea, mapeando los cambios internos y externos e identificando nuevos riesgos emergentes que afecten el cumplimiento de los objeti
ditoría del período de auditoría.

USUARIOS

zación, el DEA debe incluirlos en el mapa de calor y establecer si es necesario ajustar o redefinir el plan de auditoría priorizando los riesgos
do debe ser presentado a la alta dirección y al Comité de auditoría para su aprobación.

SUGERENCIAS

adicionar de acuerdo a sus necesidades.

AN DE AUDITORÍA REFINADO CON LOS NUEVOS RIESGOS EMERGENTES

e realizan reuniones de alto nivel y con las áreas relacionadas para identificar el riesgo, categorizarlo y clasificarlo. Se ajusta el Plan de aud
riorización.

objetivos estratégicos de la organización, los actualiza y selecciona aquellos que deben ser considerados en el plan de auditoría.

E RIESGOS EMERGENTES - MATRIZ DE RIESGO REFINADA DE LA ORGANIZACIÓN

Moderada Frecuente Alta

términos de Impacto y Frecuencia.

CIÓN DE LOS RIESGOS EMERGENTES Y REFINAMIENTO DEL PLAN DE AUDITORÍA

tividades y/o focos de auditoría que den respuesta a los riesgos por medio de evaluaciones que permitan auditar la operatividad, eficienci
ctividades de la organización y fortalecerlo.

NIVEL RIESGO Alcance sede/sucursal/ Foco del alcance, de acuerdo

EMERGENTE puntos de venta con el riesgo

Alto

Tolerable

Alto

Extremo

Aceptable

PLAN DE AUDITORÍA INICIAL Y RIESGOS EMERGENTES PARA

VALORACIÓN DE Alcance sede/sucursal/ Foco del alcance, de acuerdo

RIESGOS puntos de venta con el riesgo
Aceptable

Aceptable

Aceptable

Extremo

Alto

Alto

Aceptable

Aceptable

Aceptable

Aceptable

Aceptable

Aceptable

Aceptable

Aceptable

Aceptable

Aceptable
 Aceptable

Aceptable

Aceptable

Aceptable

Aceptable

PLAN ANUAL DE AUDITORÍA REFINADO

be establecer un cronograma de ejecución. Las actividades deben organizarse de acuerdo con la nueva priorización.

o (conciliaciones bancarias, arqueos, inventarios, entre otros) e incluir en el plan el seguimiento a la implementación de planes de acción y

ón.
haga sus veces.
a involucrar en el plan de auditoría.

OBSERVACIONES Y/O COMENTARIOS

 Referencia P.T.
Versión: 1

C-DPA 001

GRANDE

mergentes que afecten el cumplimiento de los objetivos de la organización, de

o redefinir el plan de auditoría priorizando los riesgos de mayor impacto para

n.

, categorizarlo y clasificarlo. Se ajusta el Plan de auditoría, se define el foco de

en ser considerados en el plan de auditoría.

ÓN

Nivel de frecuencia
RÍA

ones que permitan auditar la operatividad, eficiencia y eficacia de los

MACROPROCESO PROCESO

DITORÍA INICIAL Y RIESGOS EMERGENTES PARA REFINAR EL PLAN

MACROPROCESO PROCESO
DO

rdo con la nueva priorización.

guimiento a la implementación de planes de acción y otras actividades que la organización requiera de manera periódica definidas en

OS
 REQUIERE TIPO DE
ACTIVIDADES DE AUDITORÍA
ESPECIALISTAS ESPECIALISTA

SI

SI

SI

SI

SI

LAN

REQUIERE TIPO DE
ACTIVIDADES DE AUDITORÍA ESPECIALISTAS ESPECIALISTA
SI

NO

SI

SI

SI

NO

NO

NO

NO

NO

NO

SI

SI

SI

NO

NO
 NO

NO

SI

SI

NO

es que la organización requiera de manera periódica definidas en

HERRAMIENTAS RESPONSABLE DE LA
TECNOLÓGICAS AUDITORÍA

Senior operativo

Senior de tecnología

Gerente de
riesgo

Senior de tecnología

Senior operativo

HERRAMIENTAS RESPONSABLE DE LA
TECNOLÓGICAS AUDITORÍA
Senior operativo

Senior de tecnología

Gerente de riesgo

Senior de tecnología

Senior operativo

Gerente de
ciberseguridad