22 Función de auditoría interna

Las entidades deberían establecer una función de auditoría interna (FAI) independiente y eficaz, teniendo en cuenta los criterios de proporcionalidad establecidos en el título I, y nombrar a una persona responsable de esta función en toda la entidad. La FAI debería ser independiente y tener la autoridad, el rango y los recursos adecuados. En concreto, la entidad debería asegurarse de que la cualificación del personal de la FAI y los recursos de esta función, en particular sus herramientas de auditoría y métodos de análisis de los riesgos, sean adecuados al tamaño y el emplazamiento de la entidad, así como a la naturaleza, escala y complejidad de los riesgos asociados al modelo de negocio, las actividades, la cultura de riesgos y el apetito de riesgo de la entidad.

La FAI debería ser independiente de las actividades auditadas. Por tanto, la FAI no debería combinarse con ninguna otra función.

Utilizando un enfoque basado en el riesgo, la FAI debería verificar de forma independiente y proporcionar una certeza objetiva de que todas las actividades y unidades de una entidad, incluidas las actividades externalizadas, cumplen con las políticas y los procedimientos de la entidad y con los requisitos regulatorios. Todas las entidades del grupo estarán incluidas en el ámbito de competencias de la FAI.

La FAI no debería involucrarse en el diseño, selección, establecimiento y aplicación de políticas, mecanismos y procedimientos específicos de control interno y límites de riesgo. Sin embargo, esto no debería impedir que el órgano de dirección en su función de dirección solicite información a la función de auditoría interna sobre cuestiones relacionadas con el riesgo, los controles internos y el cumplimiento de las normas aplicables.

La FAI debería evaluar si el marco de control interno de la entidad, como se establece en la sección 15, es eficaz y eficiente. En particular, la FAI debería evaluar:

• a. la adecuación del marco de gobierno de la entidad;
• b. si las políticas y procedimientos existentes siguen siendo apropiados y se adecúan a los requisitos legales y regulatorios, y a la estrategia de riesgo y el apetito de riesgo de la entidad;
• c. la adecuación de los procedimientos a las leyes y normativas aplicables y a las decisiones del órgano de dirección;
• d. si los procedimientos se aplican de manera correcta y eficaz (p. ej., conformidad de las operaciones, el nivel de riesgo efectivamente incurrido, etc.), y
• e. la adecuación, calidad y efectividad de los controles realizados y de la información presentada por las unidades de negocio y por las funciones de gestión de riesgos y de cumplimiento.

La FAI debería verificar, en particular, la integridad de los procesos que garantizan la fiabilidad de los métodos y técnicas de la entidad, así como los supuestos y las fuentes de información utilizados en sus modelos internos (p. ej., la modelización de riesgos y la valoración contable). Debería evaluar asimismo la calidad y la utilización de herramientas cualitativas de identificación y evaluación de los riesgos y las medidas de mitigación de riesgos adoptadas.

La FAI debería tener acceso sin restricciones a todos los registros, documentos, información y edificios de la entidad. Esto debería incluirá el acceso a los sistemas de información de gestión y a las actas de todos los comités y los órganos de decisión.

La FAI debería adherirse a los estándares profesionales nacionales e internacionales. Un ejemplo de estándares profesionales a los que se hace referencia en este apartado son las normas establecidas por el Instituto de Auditores Internos.

Los trabajos de auditoría interna deberían llevarse a cabo con arreglo a un plan de auditoría y a programas de auditoría detallados siguiendo un enfoque basado en el riesgo.

Debería elaborase un plan de auditoría interna al menos una vez al año basándose en los objetivos anuales de control de la auditoría interna. El plan de auditoría interna debería ser aprobado por el órgano de dirección.

Todas las recomendaciones de auditoría deberían someterse a un procedimiento formal de seguimiento por parte de los niveles de dirección adecuados, con el fin de garantizar e informar de su resolución eficaz y oportuna.