NORMAS DE AUDITORÍA INTERNA 2024: REVISIÓN E IMPLEMENTACIÓN DE UN NUEVO MARCO DE GOBERNANZA QUE DEJA MUY POCO A LA INTERPRETACIÓN INTERNAL AUDIT STANDARDS 2024: REVIEW AND IMPLEMENTATION OF A NEW GOVERNANCE FRAMEWORK THAT LEAVES VERY LITTLE TO INTERPRETATION DANIELA DEL PILAR RODRÍGUEZ1, CIA, CRMA DEPARTAMENTO ACADÉMICO DE CIENCIAS DE LA GESTIÓN Resumen Las nuevas Normas Globales de Auditora Interna (GIAS, por sus siglas en inglés) serán aplicables desde el 9 de enero del 2025. En la presente nota académica, se muestra un resumen de las diferencias claves con respecto a la versión previa, correspondiente al año 2017, y se revisan los nuevos requerimientos. Para un abordaje ordenado, se proponen siete temas: 1. Los principios a través de los “dominios”; 2. Los cambios en los términos empleados en las interrelaciones entre la alta dirección y el directorio2; 3. Los nuevos requerimientos para ajustarse a las nuevas Normas, con ejemplos; 4. Las evaluaciones internas y externas de calidad; 5. El aseguramiento y la consultoría; 6. Gobierno de la función auditoría interna; y 7. Nuevos requerimientos. Palabras clave: auditoría, nuevas normas, dominios, aseguramiento, consultoría. 1 Magíster en Finanzas por la Universidad del Pacífico y contadora pública colegiada. Tiene la certificación ISO 31000 Risk Manager. Es docente a tiempo parcial en la Facultad de Gestión y Alta Dirección de la PUCP. Actualmente, es gerente de Auditoría de Niubiz (Compañía Peruana de Medios de Pago S. A.) y ha desempeñado labores como auditor general en entidades reguladas, como Prima AFP. Se encuentra en proceso de obtención de la certificación CISA. 2 Se refiere al cuerpo autorizado, dentro de las organizaciones, que provee al Área de Auditoría Interna el rol, la autoridad y las responsabilidades apropiadas para ejercer su función, normalmente delegado al Comité de Auditoría. Las nuevas normas en inglés indican que este puede ser la Junta de Directores, el Comité de Auditoría o una Junta de Gobernadores, La palabra original en inglés utilizada por el Instituto de Auditores Internos en la redacción de las normas para nombrar a este órgano es Board (Institute of Internal Auditors, 2024a). Summary The new Global Internal Auditing Standards (GIAS) will be applicable from January 9, 2025. This Academic Note presents a summary of the key differences with the previous version from 2017 and the new requirements. For an orderly approach, seven topics are presented: 1. The principles across the “domains”, 2. The changes in the terms used in the interrelationships between senior management and the board, 3. The new requirements to conform to the new Standards, with examples, 4. Internal and external quality evaluations, 5. Assurance and consulting, 6. Governance of the Internal Audit function, and 7. New requirements. Keywords: audit, new standards, domains, assurance, consulting. 1. Introducción El 9 de enero del 2024, el Instituto de Auditores Internos Global (IIA, por sus siglas en inglés) emitió las nuevas Normas Globales de Auditoría Interna (GIAS, por sus siglas en inglés), o simplemente las “nuevas Normas”, aplicables desde el 9 de enero del 2025 y que, a la fecha de redacción de esta nota académica, solo se encuentran disponibles en el idioma inglés. Es un documento que consta de 120 páginas en la edición completa y 62 páginas en la edición resumida. La versión previa, llamada Normas Internacionales para la Práctica Profesional de Auditoría Interna, o International Professional Practices Framework (IPPF) en inglés, fue publicada en el año 2017 y se mantiene aprobada para su uso hasta el 9 de enero del 2025. Uno de los aspectos más relevantes de esta publicación es que existen cambios en su estructura, nuevas actividades obligatorias y requisitos específicos para distintos tipos de encargos de auditoría. También, proporciona información para funciones de auditoría en pequeñas empresas y la aplicación de las nuevas Normas en el sector público. 2. Objetivo En la esta nota académica, se hace un resumen de las diferencias entre las versiones de las Normas Globales de Auditoría Interna de los años 2017 y 2024, y luego se revisan los nuevos requerimientos abordados en esta versión. Se espera que esta nota sea de utilidad para quienes ejercen la actividad y los estudiantes interesados en el tema. 3. Los temas más importantes entre las versiones 3.1. Los principios rectores a través de los “dominios”3 Coincido con Sikich (2024) que el mayor cambio de las Normas es la transición de “Normas de Atributos y Desempeño” a los 15 principios rectores que son el corazón de las nuevas Normas. Estos están diseñados para permitir una auditoría interna eficaz a través de cinco dominios, los cuales están organizados de la siguiente manera: • Dominio I: Propósito de la auditoría interna • Dominio II: Ética y profesionalismo (Principio 1-5) • Dominio III: Gobierno de la función de auditoría interna (Principio 6-8) • Dominio IV: Administrando la función de auditoría interna (Principio 9-12) • Dominio V: Realizando servicios de auditoría interna (Principio 13-15) Cada principio está respaldado por estándares (52 en total) que contienen requisitos, consideraciones para la implementación y ejemplos de evidencia de cumplimiento. Esta nueva estructura ayuda a simplificar las normas del 2017 y respalda un verdadero marco basado en principios. A continuación, se ofrece una comparación de lo que teníamos antes (2017) con los que tenemos ahora en cuanto a estructura (2024): 3 InsZtute of Internal Auditors (2024b). Tabla 1. Comparativo entre normas versión 2017 versus nuevas normas 2024 respecto a su estructura y organización Normas vigentes (versión 2017) International Professional Practices Framework (IPPF) - Normas Internacionales para la Práctica Profesional Nuevas Normas (versión 2024) Global Internal Audit Standards (GIAS) Tenía una parte obligatoria (principios, definición de la auditoría interna, código de ética y estándares), así como una orientación recomendada (implementación y orientación complementaria). Estaba desconectada y contenía duplicados en los principios, el código de ética y los estándares. Comprendía dos categorías principales de estándares: estándares de atributos y desempeño (series 1000 y 2000, respectivamente). Nota. Institute of Internal Auditors - IIA. (2017). 2017 IPPF Standards. https://www.iia.org.uk/resources/ippf/2017- ippfstandards/ Todos estos aspectos se han reestructurado. Ahora, se asignan a una nueva estructura de acuerdo con cinco dominios: Nota. Institute of Internal Auditors - IIA. (2024c). Condensed Global Internal Audit Standards. https://www.theiia.org/en/standards/2024- standards/global-internal-audit-standards/free- documents/condensed-global-internal-audit- standards/ Contienen 15 principios, respaldados por estándares (52 en total), que comprenden requisitos, consideraciones para la implementación y ejemplos de evidencia de cumplimiento. 3.2. Cambios en la terminología de las interacciones entre la Alta Dirección y el Directorio La terminología de las Normas ha cambiado: un ejemplo notorio incluye los cambios en cierta terminología que afecta las interacciones entre la función de auditoría interna, la Alta Dirección y el Directorio. Por ejemplo, antes se decía “es conveniente que se haga” (en la Norma 1010 “Elementos obligatorios en el Estatuto”, 2017); ahora, se indica que “es obligatorio que se haga” (6.1 “Mandato de Auditoría Interna” en las nuevas Normas). 3.3. Mayor claridad de requerimientos y ejemplos para ajustarse a las nuevas Normas Las nuevas Normas traen una mayor claridad4 y detalle en sus requerimientos, y brindan ejemplos de evidencia. Adicionalmente, proveen una guía para quienes deben realizar varios requerimientos, como el Directorio, la Alta Dirección o el CEO. Esta nueva información busca completar el propósito de la función de auditoría interna sin tener que recurrir a la interpretación. Por ejemplo, antes no se indicaba cómo la función de auditoría se mantenía informada de los principales proyectos del negocio; en cambio, ahora se indica que es mediante la asistencia a comités de la organización. 3.4. Evaluaciones de calidad interna y externa Un componente crítico del programa de aseguramiento de la calidad de un área de auditoría interna es el lenguaje incorporado en las nuevas Normas: “8.3 Calidad”, “8.4 Evaluación externa de la calidad” y “12.1 Evaluación interna de la calidad”, en relación con el Programa de Mejora y Aseguramiento de la Calidad. Esto incluye disposiciones sobre el diseño del programa para evaluar la conformidad con las Normas, el logro de los objetivos de desempeño y la búsqueda de la mejora continua. Además, se deben desarrollar criterios para evaluar el desempeño de los encargos, 4 InsZtute of Internal Auditors (2024a). los auditores internos y la función de auditoría interna. Algunos de los aspectos incluyen: 3.4.1. Evaluaciones internas de calidad • Si bien algunas organizaciones discuten informalmente el incumplimiento de las Normas con la Alta Dirección y el Directorio, ahora se deben desarrollar y documentar formalmente planes de acción para cualquier tema de incumplimiento, y luego comunicarlos al Directorio y a la Alta Dirección. • Las nuevas Normas requieren la aprobación del Directorio de los objetivos de desempeño de la función de auditoría interna anualmente, como mínimo. • La Alta Dirección debe proporcionar información sobre los objetivos de desempeño de la auditoría interna. 3.4.2. Evaluación de calidad externa (realizar una auditoría externa a la función de auditoría interna) • Como parte de la sección “Consideración para la implementación”, las Normas ahora establecen que al menos un miembro del equipo de evaluación externa debe ser un auditor interno certificado (CIA). • Se deben considerar evaluaciones externas más frecuentes (que los cinco años estándar), si se cumplen ciertos factores: o Cambios en el liderazgo (auditor interno, Alta Gerencia, etc.); o Se ha producido una fusión de dos funciones de auditoría interna; o o Si hay una rotación significativa de personal. o Si un auditor interno decide realizar una autoevaluación con validación independiente, debe proporcionar al Directorio, para su aprobación, las razones por las que elige realizarla en lugar de una evaluación de calidad externa. 3.5. Aseguramiento (auditoría) y consultoría (antes asesoría) La versión del 2017 incluyó requisitos aplicables a los servicios de aseguramiento o consultoría. Como se puede revisar, casi el 30 % de las Normas del 2017 tenían requisitos separados para los trabajos de consultoría. El lenguaje para esos estándares de consultoría era vago y a menudo menos estricto en lo que se refería a los requisitos para una revisión de auditoría de aseguramiento, documentación de información, comunicación de progreso y resultados. Esto permitió ser mucho menos formales en la cantidad de documentación necesaria para cumplir esos estándares en esos tipos de trabajos de auditoría (consultoría). En su mayor parte, las nuevas Normas no diferencian entre proyectos de aseguramiento y de consultoría. Las actividades de auditoría interna y los requisitos de documentación para proyectos de consultoría deberían ser muy similares a las auditorías de aseguramiento basadas en riesgos, con solo tres excepciones: a) evaluación de riesgos, b) criterios de evaluación, y la forma de realizar los c) análisis de hallazgos del encargo de auditoría (Normas 13.2 “Encargos de Evaluación de Riesgos”; 13.4 “Criterios de Evaluación”; y 14.2 “Análisis y Hallazgos Potenciales del Encargo”, respectivamente). 3.6. Actividades esenciales en el Dominio III: gobierno de la función de auditoría interna El Instituto de Auditores ha introducido un nuevo concepto: “condiciones esenciales”. Estos existen únicamente en el Dominio III: Gobierno de la función auditoría interna. El Dominio establece que un marco de gobierno apropiado es esencial para permitir que la función de auditoría interna sea efectiva. Si bien el auditor interno o CAE (chief audit executive, por sus siglas en inglés) es responsable de los requisitos del Dominio, las actividades del Directorio y la Alta Dirección son esenciales para que la función de auditoría interna pueda cumplir su propósito. Estas actividades se identifican como “condiciones esenciales” y establecen una base para una función de auditoría interna eficaz. Cada uno de los nueve estándares dentro de este Dominio tiene condiciones esenciales. Por ejemplo, los auditores internos deben programar una reunión para discutir las condiciones esenciales con el Directorio y la Alta Dirección; la necesidad de colocar puntos de interés del negocio dentro de cada sesión del Comité de Auditoría, la revisión de los resultados del dictamen del auditor externo anualmente o presentar el detalle de observaciones vencidas por criticidad de riesgo. 4. Nuevos requerimientos - GIAS (2024), además de cinco requerimientos adicionales no abordados en la versión del 20175 Estándar 9.2 Estrategia de Auditoría Interna El auditor interno debe desarrollar e implementar una estrategia de auditoría interna, incluyendo la visión, los objetivos estratégicos y las iniciativas de apoyo para la función. La estrategia de auditoría interna tiene como objetivo guiar la función de auditoría interna hacia el cumplimiento de su propósito. La visión debe describir el estado futuro deseado en un plazo de tres a cinco años. Los objetivos estratégicos definen metas alcanzables para alcanzar la visión, lo cual, por ejemplo, se traduce en la implementación de OKR en auditoría interna que se midan trimestralmente. Estándar 11.1 Construyendo relaciones y comunicándose con los grupos de interés (stakeholders) Se debe desarrollar y documentar un plan para gestionar las relaciones y generar confianza con las partes interesadas clave. La orientación sugiere y pone como ejemplo interacciones tanto formales (encuestas, talleres, reuniones) como informales consistentes, para ganar confianza con los empleados de la organización. Estándar 12.2 Medición del desempeño El auditor interno debe establecer objetivos de desempeño, es decir, indicadores clave de desempeño KPI (key performance indicators, por sus siglas en inglés), que estén diseñados para evaluar el desempeño de la función de auditoría interna. Asimismo, debe desarrollar un plan de acción para abordar problemas y oportunidades de mejora cuando no se cumplen los KPI. Por ejemplo, el número de pruebas analíticas implementadas o el cumplimiento del plazo del proyecto. Estándar 14.3 Evaluación de hallazgos Requiere que los auditores internos evalúen cada hallazgo y determinen su importancia. En el glosario, un “hallazgo” (u “observación”) se describe como una 5 InsZtute of Internal Auditors (2024c). brecha entre los criterios de evaluación y la condición. Los hallazgos no son mejores prácticas ni oportunidades de mejora. Estándar 14.5 Conclusión del encargo Los auditores internos deben desarrollar una conclusión del trabajo que resuma la importancia general de los hallazgos agregados del trabajo. Las “Consideraciones para la implementación” sugieren una escala de calificación, como satisfactoria, parcialmente satisfactoria, necesita mejoras o insatisfactoria. Aquí, si usabas calificativos de “aceptable” o “tolerable”, estas se deberían cambiar por los nombres indicados en la Norma. Finalmente, quisiera concluir esta nota académica resaltando el reto que tienen las áreas de Auditoría Interna de las empresas es el tiempo que tienen para revisar y entender los cambios de las Nuevas Normas para actualizar las políticas, procedimientos y Estatuto. Como comentan también compañías especializadas como BDO (2024), los pasos para lograr una implementación adecuada deben incluir: 1. Capacitarse usando bibliografía emitida por el Instituto de Auditores Internos Global o de la zona donde se resida. 2. Realizar una evaluación de brechas o diagnóstico entre el estado actual y las actividades requeridas por las nuevas Normas. Esto facilitará identificar los cambios necesarios y nos ayudará a los departamentos de auditoría interna a determinar los impactos para comunicarlos a los stakeholders. 3. Finalmente, se deben desarrollar e implementar los planes de acción definidos. Estos deben tomar en cuenta las prioridades, la estrategia y la visión de la actividad de auditoría interna, los cuales deben estar alineados con los objetivos y estrategias del negocio. Referencias BDO. (2024). Update to Global Internal Audit Standards. https://www.bdo.com/insights/assurance/update-to-global-internal-audit- standards Institute of Internal Auditors - IIA. (2024a). Global Internal Audit Standards (GIAS). https://www.theiia.org/en/standards/2024-standards/global-internal-audit- standards/free-documents/complete-global-internal-audit-standards/ Institute of Internal Auditors - IIA. (2024b). Two-way mapping: 2017 IPPF Mandatory Elements to 2024 Global Internal Audit Standards (and back). https://www.theiia.org/en/standards/2024-standards/global-internal-audit- standards/free-documents/two-way-mapping-2017-ippf-mandatory-elements- to-2024-global-internal-audit-standards-and-back/ Sikich. (2024). New Global Internal Audit standard released. https://www.sikich.com/insight/new-global-internal-audit-standards- released/?query