La evaluación sistemática del marco de controles de una entidad para identificar controles clave, mapear objetivos de control frente a riesgos, evaluar el diseño de los controles y priorizar actividades de prueba o remediación.

Principio

Vincular riesgos, objetivos y controles para que el esfuerzo de auditoría se dirija a los controles que mitigan riesgos materiales y respaldan información financiera u resultados operativos confiables.

Demostración

Un análisis de controles en procure-to-pay mapea controles de aprobación, la automatización de la conciliación de tres vías y controles de acceso frente a riesgos de compras no autorizadas, pagos duplicados y fraude, clasificándolos por riesgo residual y fortaleza del control.

Aplicación incorrecta

Realizar un inventario superficial de controles sin evaluar si abordan los riesgos identificados, o confiar únicamente en las descripciones de controles sin probar la eficacia del diseño.

Consecuencia

Un análisis de controles exhaustivo aclara qué controles deben probarse, apoya la asignación eficiente de recursos de auditoría, revela brechas de control para la acción de la dirección y sustenta conclusiones de auditoría basadas en riesgos.

Inversión

Centrar las auditorías únicamente en transacciones y saldos sin relación con el entorno de control, lo que puede provocar que se pasen por alto controles preventivos o detectivos que cambian el riesgo de auditoría.

Límite

Abarca identificación, mapeo y evaluación de controles pero excluye trabajos de implementación como el diseño de nuevos controles o la ejecución de proyectos de remediación, que son responsabilidad de la dirección.

Tensión semántica

Próximo a la evaluación de riesgos y al mapeo de procesos; el análisis de controles enfatiza específicamente las medidas de control y su relación con los riesgos más que el apetito de riesgo o métricas de eficiencia de procesos.

Síntesis

El Análisis De Controles es la evaluación alineada con el riesgo de los controles de una organización que determina qué controles son críticos, cómo están diseñados y dónde deben concentrarse las pruebas o la remediación.