20 Función de auditoría interna

Cuando se haya establecido, la función de auditoría interna (FAI) será independiente y tendrá suficiente autoridad, rango y recursos. En concreto, las empresas de servicios de inversión deberían asegurarse de que la cualificación del personal de la FAI y los recursos de esta función, en particular sus herramientas de auditoría y métodos de análisis de los riesgos, sean adecuados al tamaño y el emplazamiento de la empresa de servicios de inversión, así como a la naturaleza, escala y complejidad de los riesgos asociados al modelo de negocio, las actividades, la cultura de riesgos y el apetito de riesgo de la empresa de servicios de inversión.

La FAI debería ser independiente de las actividades auditadas. Por tanto, la FAI no debería combinarse con ninguna otra función.

Utilizando un enfoque basado en el riesgo, la FAI debería verificar de forma independiente y proporcionar una certeza objetiva de que todas las actividades y unidades de una empresa de servicios de inversión, incluidas las actividades externalizadas, cumplen con las políticas y los procedimientos de la empresa de servicios de inversión y con los requisitos regulatorios externos. Todas las entidades del grupo estarán incluidas en el ámbito de competencias de la FAI.

La FAI no debería involucrarse en el diseño, selección, establecimiento o aplicación de políticas, mecanismos y procedimientos específicos de control interno o límites de riesgo. Sin embargo, esto no debería impedir que el órgano de dirección en su función de dirección solicite información a la función de auditoría interna sobre cuestiones relacionadas con el riesgo, los controles internos y el cumplimiento de las normas aplicables.

La FAI debería evaluar si el marco de control interno de la empresa de servicios de inversión, como se establece en la sección 15, es eficaz y eficiente. En particular, la FAI debería evaluar:

• a. la adecuación del marco de gobierno de la empresa de servicios de inversión;
• b. si las políticas y procedimientos existentes siguen siendo apropiados y se adecúan a los requisitos legales y regulatorios, y a la estrategia de riesgo y el apetito de riesgo de la empresa de servicios de inversión;
• c. la adecuación de los procedimientos a las leyes y normativas aplicables y a las decisiones del órgano de dirección;
• d. si los procedimientos se aplican de manera correcta y eficaz (p. ej., conformidad de las operaciones, el nivel de riesgo efectivamente incurrido, etc.), y
• e. la adecuación, calidad y efectividad de los controles realizados y de la información presentada por las unidades de negocio (primera línea de defensa) y por las funciones de gestión de riesgos y de cumplimiento normativo.

La FAI debería verificar, en particular, la integridad de los procesos que garantizan la fiabilidad de los métodos y técnicas de la empresa de servicios de inversión, así como los supuestos y las fuentes de información utilizadas en sus modelos internos (p. ej., la modelización de riesgos y la valoración contable). Debería evaluar asimismo la calidad y la utilización de herramientas cualitativas de identificación y evaluación de los riesgos, y las medidas de mitigación de riesgos adoptadas.

La FAI debería tener acceso sin restricciones a todos los registros, documentos, información y edificios de la empresa de servicios de inversión. Esto debería incluirá el acceso a los sistemas de información de gestión y a las actas de todos los comités y los órganos de decisión.

La FAI debería adherirse a los estándares profesionales nacionales e internacionales. Un ejemplo de estándares profesionales a los que se hace referencia en este apartado son las normas establecidas por el Instituto de Auditores Internos.

Los trabajos de auditoría interna deberían llevarse a cabo con arreglo a un plan de auditoría y a programas de auditoría detallados siguiendo un enfoque basado en el riesgo.

Debería elaborase un plan de auditoría interna al menos una vez al año basándose en los objetivos anuales de control de la auditoría interna. El plan de auditoría interna debería ser aprobado por el órgano de dirección.

Todas las recomendaciones de auditoría deberían someterse a un procedimiento formal de seguimiento por parte de los niveles de dirección adecuados, con el fin de garantizar e informar de su resolución eficaz y oportuna.