Control Interno – Página 2 – Randy A. Valverde Valverde

Protección de datos

Si bien la mayor parte de las legislaciones iberoamericanas regulan el derecho de las personas a la protección sobre sus datos, en el marco del llamado habeas data, como garantía constitucional, cada vez son más los Estados que cuentan con normas específicas en materia de protección de datos, adecuando sus leyes, decretos y otra normativa para una mejor salvaguarda de este derecho fundamental, así como su tutela judicial efectiva.

La protección de la privacidad debe ser entendida como un derecho fundamental, tal y como reconoce Naciones Unidas en el marco de la protección de la libertad individual, la libertad de expresión, la intimidad y la dignidad personal. A mayor abundamiento, el Consejo de Europa lo define como un derecho humano fundamental, mismo sentido en que es tratado en la Declaración Universal de Derechos Humanos y el Pacto Internacional de las Naciones Unidas sobre los Derechos Civiles y Políticos, donde se define la privacidad como un derecho, afirmándose que “nadie será objeto de injerencias arbitrarias o ilegales en su vida privada, su familia, su domicilio o su correspondencia, ni de ataques ilegales a su honra y reputación”…

Daniel López Carballo, Director del observatorio Iberoamericano de Protección de Datos / España, Fuente: http://es.calameo.com/read/002682399c9e17199b3dd

(El subrayado no es del original)

Hablar de la protección de datos hoy en día puede implicar una serie de conceptos que terminan complementando el tema de tal forma que la complejidad del mismo llega a ser significativa, como bien podemos ver en el texto introductorio tenemos si bien una serie de productos globales desde el punto de vista de las TI, de igual forma ahora tenemos normas locales. Sigue leyendo Protección de datos

Bases Generales: Riesgos

Si bien es cierto el Riesgo o los Riesgos son un componente importantísimo del Control Interno, no dejan de ser una guía primordial a la hora de abordar los estudios de auditoria. Estudios de auditoria en cualquiera de sus áreas del Universo, pero para continuar con la columna vertebral de este sitio, se procurara relacionar con los procesos de Auditoria de Sistemas. Vamos ahora a su definición.

Definición de Riesgo:

Desde el sitio web de la RAE, de forma sencilla se nos dice: “Contingencia o proximidad de un daño”.

Por otro lado la UNISDR (The United Nations Office for Disaster Risk Reduction) lo define: “El riesgo es la probabilidad de que una amenaza se convierta en un desastre. La vulnerabilidad o las amenazas, por separado, no representan un peligro. Pero si se juntan, se convierten en un riesgo, o sea, en la probabilidad de que ocurra un desastre”

Para la Contraloría General de la Republica en la Norma de Control Interno (N-2-2009-CO-DFOE) en su página 47 se define el Riesgo como: “Probabilidad de que ocurran eventos de origen interno o externo, que tendrían consecuencias sobre el cumplimiento de los objetivos institucionales”

Tipos de Riegos:

Como segundo paso es importante definir cuantos tipos se pueden determinar o prevenir (objetivo primordial de una auditoria), en uno curso de cual fui parte (Gestión de auditoria de alto impacto en riesgos, 2016) se nos ofrecía dos tipos de riesgos a gran escala, rescato de mis apuntes lo siguiente:

Riesgo Inherente: riesgo que amenaza el cumplimiento de un objetivo, este va a estar más relacionado con la causa por tanto se les suele conocer como riesgo causal.

Riesgo de Control: es aquel riesgo en que los controles no mitiguen el riesgo inherente, viene a ser la consecuencia de la falta de controles por lo tanto se le conoce como riesgo consecuente.

Entornos de T.I.

Dentro de las Normas Técnicas para la gestión de las Tecnologías de la Información vamos a tener dentro del su alcance en su Capítulo I, las normas de aplicación en donde se puede leer el punto 1.3:

Gestión del Riesgo: La organización debe responder adecuadamente a las amenazas que puedan afectar la gestión de las TI, mediante una gestión continua de riesgos que esté integrada al sistema específico de valoración del riesgo institucional y considere el marco normativo que le resulte aplicable.

Tomando como punto de partida ese argumento podemos ver la importancia del tema de riesgo para las tecnologías de información, en donde el propósito fundamental es tender a eliminarlo procurando su disminución al máximo. Es decir tomando en cuenta las definiciones iniciales, “minimizar las probabilidades de que se materialicen los RIESGOS”, esto porque en esencia los riesgos siempre van a existir.

Por otro lado es importante mencionar que dentro de las normativas internacionales el riesgo también forma parte de capítulos de interés, por un lado el Instituto Internacional de Auditoria Interna nos ofrece la certificación CRMA (Certification in Risk Management Assurance) en el otro extremo más del lado de las tecnologías de información tenemos la reciente certificación que ofrece ISACA llamada CRISC (Certified in Risk and Information System Control).

Dentro de la normativa de TI (N-2-2007-CO-DFOE)con la cual solemos trabajar los auditores de sistemas en este bello país como lo es Costa Rica, podemos ubicar dentro de ella 19 resultados donde se menciona la palabra riesgo, esto con justa razón; en todos los procesos donde vemos relacionados las tecnologías de información van a existir riesgos, los cuales debemos de minimizar, esto con el fin de que no se vean materializados para que las empresas u instituciones no vean su día a día afectado.

Es de suma importancia dejar de lado lo urgente y darle la importancia apropiada al tema de los riesgos, debemos apropiarnos de la tarea: de analizar, documentar, clasificar y evaluar de forma periódica el tema. By. RVV

Bases Generales: El Control Interno

Dentro de las bases generales que debemos de considerar cuando somos parte de este mundo de la auditoria, independientemente del sector del universo auditable del cual hablemos, es sin duda el Control Interno.

Como auditores debemos de respaldar nuestras respuesta siempre en base a normativas, textos formales (libros, estudios previos; nunca un sitio web sin veracidad científica), razón por la cual en un inicio compre el Libro “Manual práctico de Control Interno” del editorial Profit que a pesar de ser muy orientado a España, tiene conceptos generales y elementos interesantes que sirven como fuente de información. Esto claro está partiendo de la premisa que para nuestro país debemos de tomar como punto de partida la Ley 8292.Definición de Control Interno:

De acuerdo al Libro que tenemos como guía “Manual práctico de Control Interno” en sus pagina 36 menciona la definición proporcionada en el manual de control interno (Internal Control-Integrated Framework) de 1992 publicado por COSO:

“Proceso efectuado por el consejo de administración, la dirección y el resto del personal de una entidad, diseñado con el objetivo de proporcionar un grado de seguridad razonables en cuanto a la consecución de los objetivos dentro de la siguientes categorías:

Eficacia y eficiencia de las operaciones.
Fiabilidad de la información financiera.
Cumplimiento de las leyes y normas aplicables. “

Cabe mencionar que COSO son las siglas del Committee of Sponsoring Organizations of the Treadway Commission (Comité de Patrocinadores de la Comisión Treadway), que patrocinó el informe de investigación de los Estados Unidos titulado Control interno – Marco Integrado que fue publicado en 1992, teniendo como punto de partida una referencia formal para el CI.

En el 2013 se publica el MARCO COSO 2013, ojo que no es el COSO 3 como muchos lo llaman, dentro de este Marco la definición del Control Interno no cambio.Otra definición de Control Interno:

Ahora bien, de acuerdo a la normativa que tenemos dentro de la norma: N-2-2009-CO-DFOE Normas de Control Interno, en el glosario al ubicar el concepto de control interno nos pide que veamos el concepto de Sistema de Control Interno (SCI) por lo tanto cito:

Sistema de Control Interno (SCI): También denominado “control interno”. Comprende la serie de acciones diseñadas y ejecutadas por la administración activa para proporcionar una seguridad razonable en torno a la consecución de los objetivos de la organización, fundamentalmente en las siguientes categorías: a) Proteger y conservar el patrimonio público contra cualquier pérdida, despilfarro, uso indebido, irregularidad o acto ilegal; b) Confiabilidad y oportunidad de la información; c) Eficiencia y eficacia de las operaciones; y d) Cumplir con el ordenamiento jurídico y técnico.Componentes del Control Interno:

Basado en los estándares internacionales que se establecieron con el COSO, el Sistemas de Control Interno va a caracterizarse por cinco componentes de vital importancia:

Entorno de control (Control enveronment)
Evaluación de riesgos (Risk assessment)
Activación de control (Control Activities)
Información y comunicación (Information & Communication)
Actividades de seguimiento (Monitoring)

Estos cinco componentes que se mencionan, vienen a ser analógicamente como las fases de aplicación del Control Interno para un escenario ideal dentro de la compañía.

En nuestro caso para Costa Rica cada uno de estos cinco componentes se ven aún más desmenuzados en cada uno de sus capítulos de la Normas de Control Interno N-2-2009-CO-DFEO:

Entorno de control (Capítulo II)
Evaluación de riesgos (Capítulo III)
Activación de control (Capítulo IV)
Información y comunicación (Capítulo V)
Actividades de seguimiento (Capítulo VI)

Podríamos resumir al Control interno como:

Partiendo de la premisa de la necesidad de un ambiente donde controlamos el mismo, nos lleva a pensar en la tarea periódica de poder medir la posibilidad de ver materializado un riesgo razón por la cual son necesarias las actividades de control. No podemos dejar de lado como auditores la necesidad de comunicar e informar los análisis a los cuales nos llevan el apego de las normas, leyes, etc y sin duda procurar darle seguimiento al accionar de la administración.

Por los datos mencionados es que nace el Control Interno, un eje de la Auditoría que podemos ubicar en cada uno de los elementos del Universo Auditable con el propósito de buscar una seguridad razonable en las instituciones. By. RVV