De acuerdo a la Declaración Profesional No.7 tantas veces citada el nuevo concepto de control interno está constituido por los siguientes componentes interrelacionados derivados de la forma de gestionar la organización:
7.9.1 AMBIENTE DE CONTROL
La organización debe establecer un entorno que permita el estímulo y produzca influencia en la actividad del recurso humano respecto al control de sus actividades. Para que este ambiente de control se genere se requiere de otros elementos asociados al mismo los cuales son:
q Integridad y valores éticos. Se deben establecer los valores éticos y de conducta que se esperan del recurso humano al servicio del Ente, durante el desempeño de sus actividades propias. Los altos ejecutivos deben comunicar y fortalecer los valores éticos y conductuales con su ejemplo.
q Competencia. Se refiere al conocimiento y habilidad que debe poseer toda persona que pertenezca a la organización, para desempeñar satisfactoriamente su actividad.
q Experiencia y dedicación de la Alta Administración. Es vital que quienes determinan los criterios de control posean gran experiencia, dedicación y se comprometan en la toma de las medidas adecuadas para mantener el ambiente de control.
q Filosofía administrativa y estilo de operación. Es sumamente importante que se muestre una adecuada actitud hacia los productos de los sistemas de información que conforman la organización. Aquí tienen gran influencia la estructura organizativa, delegación de autoridad y responsabilidades y políticas y prácticas del recurso humano. Es vital la determinación actividades para el cumplimiento de la misión de la empresa, la delegación autoridad en la estructura jerárquica, la determinación de las responsabilidades a los funcionarios en forma coordinada para el logro de los objetivos.
(a) "el ambiente de control" que significa la actitud global, conciencia y acciones de directores y administración respecto del sistema de control interno y su importancia en la entidad. El ambiente de control tiene un efecto sobre la efectividad de los procedimientos de control específicos. Un ambiente de control fuerte, por ejemplo, uno con controles presupuestales estrictos y una función de auditoría interna efectiva, pueden complementar en forma muy importante los procedimientos específicos de control. Sin embargo, un ambiente fuerte no asegura, por sí mismo, la efectividad del sistema de control interno. [NIA, 1998]
7.9.2 EVALUACIÓN DE RIESGOS
Riesgos. Los factores que pueden incidir interfiriendo el cumplimiento de los objetivos propuestos por el sistema ( organización) , se denominan riesgos. Estos pueden provenir del medio ambiente ó de la organización misma. Se debe entonces establecer un proceso amplio que identifique y analice las interrelaciones relevantes de todas las áreas de la organización y de estas con el medio circundante, para así determinar los riesgos posibles.
Toda organización se encuentra sumergida en un medio ambiente cambiante y turbulento muchas veces hostil, por lo tanto es de vital de importancia la identificación y análisis de los riesgos de importancia para la misma, de tal manera que los mismos puedan ser manejados. La organización al establecer su misión y sus objetivos debe identificar y analizar los factores de riesgo que puedan amenazar el cumplimiento de los mismos. La evaluación de riesgos presenta los siguientes aspectos sobresalientes:
Objetivos. Todos los recursos y los esfuerzos de la organización están orientados por los objetivos que persigue la misma. Al determinarse los objetivos es crucial la identificación de los factores que pueden evitar su logro. La administración debe establecer criterios de medición de estos riesgos para prevenir su ocurrencia futuro y así asegurar el cumplimiento de los objetivos previstos. Las categorías de los objetivos se relacionan directamente con los objetivos del control interno planteados anteriormente:
q Objetivos de Información Financiera, son aquellos relacionados con la obtención de información financiera suficiente y confiable.
q Objetivos de Operación, son los que pretenden lograr efectividad y eficiencia de las operaciones.
q Objetivos de Cumplimiento, son los que se orientan a la adhesión a las leyes, reglamentos y políticas emitidas por la administración.
Análisis de riesgos y su proceso. Los aspectos importantes a incluir son entre otros:
q Estimación de la importancia del riesgo y sus efectos
q Evaluación de la probabilidad de ocurrencia
q Establecimiento de acciones y controles necesarios
q Evaluación periódica del proceso anterior
Manejo de cambios. Tiene relación con la identificación de los cambios que puedan tener influencia en la efectividad de los controles internos ya establecidos. Todo control diseñado para una situación específica puede ser inoperante cuando las circunstancias se modifican. Este elemento tiene estrecha relación con el proceso de análisis de riesgos, pues el cambio en sí implica un factor que puede incidir en el éxito de los objetivos.
Además de los factores que puedan impedir el cumplimiento de los objetivos del sistema organizacional, se debe tener en cuenta el riesgo de auditoría, que consiste en que el auditor no detecte un error de importancia relativa que pueda existir en el sistema examinado. El riesgo de auditoría puede consistir en riesgo inherente, riesgo de control, y el riesgo de detección.
3. "Riesgo de auditoría" significa el riesgo de que el auditor de una opinión de auditoría inapropiada cuando los estados financieros están elaborados en forma errónea de una manera importante. El riesgo de auditoría tiene tres componentes: riesgo inherente, riesgo de control y riesgo de detección.
4. "Riesgo inherente" es la susceptibilidad del saldo de una cuenta o clase de transacciones a una representación errónea que pudiera ser de importancia relativa, individualmente o cuando se agrega con representaciones erróneas en otras cuentas o clases, asumiendo que no hubo controles internos relacionados.
5. "Riesgo de control" es el riesgo de que una representación errónea que pudiera ocurrir en el saldo de cuenta o clase de transacciones y que pudiera ser de importancia relativa individualmente o cuando se agrega con representaciones erróneas en otros saldos o clases, no sea prevenido o detectado y corregido con oportunidad por los sistemas de contabilidad y de control interno.
6. "Riesgo de detección" es el riesgo de que los procedimientos sustantivos de un auditor o detecten una representación errónea que existe en un saldo de una cuenta o clase de transacciones que podría ser se importancia relativa, individualmente o cuando se agrega con representaciones erróneas en otros saldos o clases. [NIA, 1998]
7.9.3 ACTIVIDADES DE CONTROL
Las actividades de una organización se manifiestan en las políticas, sistemas y procedimientos, siendo realizadas por el recurso humano que integra la entidad. Todas aquellas actividades que se orienten hacia la identificación y análisis de los riesgos reales o potenciales que amenacen la misión y los objetivos y en beneficio de la protección de los recursos propios o de los terceros en poder de la organización, son actividades de control. Estas pueden ser aprobación, autorización, verificación, inspección, revisión de indicadores de gestión, salvaguarda de recursos, segregación de funciones, supervisión y entrenamiento adecuado.
7.9.4 INFORMACIÓN Y COMUNICACIÓN
La capacidad gerencial de una organización está dada en función de la obtención y uso de una información adecuada y oportuna. La entidad debe contar con sistemas de información eficientes orientados a producir informes sobre la gestión, la realidad financiera y el cumplimiento de la normatividad para así lograr su manejo y control.
Los datos pertinentes a cada sistema de información no solamente deben ser identificados, capturados y procesados, sino que este producto debe ser comunicado al recurso humano en forma oportuna para que así pueda participar en el sistema de control. La información por lo tanto debe poseer unos adecuados canales de comunicación que permitan conocer a cada uno de los integrantes de la organización sus responsabilidades sobre el control de sus actividades. También son necesarios canales de comunicación externa que proporcionen información a los terceros interesados en la entidad y a los organismos estatales.
7.9.5 SUPERVISIÓN Y SEGUIMIENTO
Planeado e implementado un sistema de Control Interno, se debe vigilar constantemente para observar los resultados obtenidos por el mismo.
Todo sistema de Control Interno por perfecto que parezca, es susceptible de deteriorarse por múltiples circunstancias y tiende con el tiempo a perder su efectividad. Por esto debe ejercerse sobre el mismo una supervisión permanente para producir los ajustes que se requieran de acuerdo a las circunstancias cambiantes del entorno.
La Administración tiene la responsabilidad de desarrollar, instalar y supervisar un adecuado sistema de control interno. Cualquier sistema aunque sea fundamentalmente adecuado, puede deteriorarse sino se revisa periódicamente. Corresponde a la administración la revisión y evaluación sistemática de los componentes y elementos que forman parte de los sistemas de control. La evaluación busca identificar las debilidades del control, así como los controles insuficientes o inoperantes para robustecerlos, eliminarlos o implantar nuevos. La evaluación puede ser realizada por las personas que diariamente efectúan las actividades, por personal ajeno a la ejecución de actividades y combinando estas dos formas.
El sistema de control interno debe estar bajo continua supervisión para determinar si:
q Las políticas descritas están siendo interpretadas apropiadamente y si se llevan a cabo.
q Los cambios en las condiciones de operación no han hecho estos procedimientos obsoletos o inadecuados y,
q Es necesario tomar oportunamente efectivas medidas de corrección cuando sucedan tropiezos en el sistema. El personal de Auditoría interna es un factor importante en el sistema de control interno ya que provee los medios de revisión interna de la efectividad y adherencia a los procedimientos prescritos.
El papel de supervisor del control interno corresponde normalmente al Departamento de Auditoría Interna, pero el Auditor Independiente al evaluarlo periódicamente, contribuye también a su supervisión.