Una obligación que existe en papel pero no tiene un responsable, no existe para un auditor. Ese es el núcleo de dónde se atascan muchas organizaciones. Se ha identificado una obligación de reporte, se ha redactado una política, pero la pregunta de quién se ocupa a diario de que la política se ejecute y quién puede demostrar que esto ocurre, queda sin respuesta. Sin un nombre asociado a una obligación no hay control, y sin control no hay cumplimiento demostrable.
La responsabilidad de una obligación es más que un nombre en un organigrama. Significa que una persona o una función es responsable de tres cosas: que la obligación se ejecute, que la evidencia de ello se registre, y que esa evidencia sea localizable en el momento en que alguien la solicite. Un responsable que solo sabe que una tarea le corresponde, pero no puede mostrar qué se ha registrado de ello, es en la práctica no un responsable sino un nombre en una lista.
Esta distinción es precisamente donde muchos sistemas de control interno fallan. La política se establece a nivel de dirección, la ejecución tiene lugar a nivel de departamento, y el vínculo entre ambos raramente se hace explícito. Cómo se puede establecer ese vínculo, y por qué política y práctica se distancian sin ese vínculo, se describe en cómo demuestra que la política es también práctica.
En una organización única, el responsable de una obligación normalmente todavía se puede identificar: hay una entidad jurídica, una dirección, un único conjunto de libros. En un grupo con varias entidades, eso cambia. Una obligación que aplica a nivel de grupo debe ejecutarse en algún lugar de la organización, y eso puede ser a nivel de grupo, a nivel de una filial operativa, o repartido entre varias entidades que cada una aporta una parte de la información.
La pregunta de quién es responsable se convierte entonces en una pregunta sobre estructura: qué entidad consolida los datos, qué entidad aporta los datos subyacentes, y quién es responsable si falta uno de esos eslabones. Esta cuestión se presenta tan a menudo y de forma tan específica en las estructuras de grupo que existe un tratamiento aparte para ello: quién es responsable de una obligación en un grupo con varias entidades profundiza en cómo se distribuye esa responsabilidad y dónde falla la distribución.
La responsabilidad y la evidencia van de la mano, pero en la práctica se separan. Un responsable se designa según un esquema organizativo, mientras que la evidencia de ejecución se registra en otro lugar: en un correo electrónico, una hoja de cálculo en un disco local, un sistema que solo se usa en una filial operativa. Quien debe rendir cuentas a nivel de grupo debe averiguar primero dónde se encuentra la evidencia antes de poder demostrar que se ha cumplido la obligación.
Este problema no es incidental, es estructural en cualquier organización compuesta por varias partes. Precisamente aquí profundiza dónde se dispersa la evidencia en un grupo con varias entidades: qué lugares de una organización generan evidencia sin que nadie la recopile de forma centralizada, y por qué eso solo se nota en el momento en que un auditor la solicita.
No todo documento que se presenta cuenta como evidencia para un auditor. Un documento de política demuestra que existe una intención, no que esa intención se haya ejecutado. Un acta de una reunión de dirección demuestra que se ha tratado un tema, no que se haya aplicado una decisión. La evidencia debe tener una línea directa hacia la obligación que debe sustentar: quién hizo qué, cuándo, y cómo quedó registrado.
En un grupo con varias entidades esta pregunta se vuelve más compleja, porque la evidencia puede generarse en distintos niveles y no todos los niveles tienen el mismo peso probatorio. Qué cuenta específicamente como evidencia en esa situación, y por qué la evidencia de una entidad no es automáticamente evidencia de la obligación del grupo, se explica en qué cuenta como evidencia de una obligación en un grupo con varias entidades.
Una lista de responsables es un punto de partida, no un sistema. Para estar demostrablemente en control, cada obligación debe estar vinculada a un responsable, a la evidencia que ese responsable aporta, y a un control que determine si esa evidencia está completa y actualizada. Ese vínculo suele registrarse en una matriz de control, un panorama que muestra por obligación quién es responsable y cómo se controla eso. Qué implica exactamente una matriz de control y por qué una lista de responsables sin esa matriz no resiste una auditoría, se trata en qué es una matriz de control.
Igual de importante es la pregunta de dónde se guarda esa evidencia, y si un auditor puede encontrarla sin ayuda de la organización. Un sistema que depende del conocimiento de un solo empleado no es un sistema sino un riesgo. Cómo se guarda la evidencia de manera que siga siendo localizable, incluso cuando un grupo está formado por varias entidades, se describe en cómo guarda la evidencia de modo que un auditor la encuentre en un grupo con varias entidades.
Asignar responsabilidades y organizar la evidencia es trabajo: elaborar panoramas, recopilar documentación, llevar el control de quién ha aportado qué. Parte de ese trabajo es repetible y sigue un patrón fijo, lo que lo hace adecuado para el apoyo mediante IA. El escáner de trabajo de FTE TO AI calcula por tarea qué parte de ese trabajo se puede transferir, de modo que quede visible dónde siguen siendo necesarias las personas para la evaluación y dónde los sistemas pueden encargarse de recopilar y ordenar la evidencia.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.