La norma de gestión de calidad NGC1 y el Reglamento de Auditoría han modificado el enfoque y ahora está basado en la identificación, la valoración y en el establecimiento de respuestas a los riesgos que afecten a nuestra firma o despacho. El módulo de gestión de riesgos facilita esta tarea y deja evidencia en forma de un mapa de calor que muestra los riesgos que nos afectan.
En el caso de las firmas de auditoría, es necesario implantar una gestión de riesgos que tenga en cuenta, tanto los riesgos de calidad descritos en la NIGC, como los originados por el incumplimiento de los requerimientos del RLAC en los artículos 66 y siguientes.
Fundamentalmente, lo que se pide a las firmas y despachos de auditoría es que integren en sus sistemas de calidad, un sistema de gestión de riesgos que identifique aquellas situaciones que puedan hacer que se incumplan los objetivos de calidad y de organización interna, y que diseñen respuestas que los minimicen o anulen completamente.
El equipo de la suite de auditoría Gesia ha desarrollado un módulo nuevo, que ha integrado en la herramienta audiQ gestión y control de calidad en despachos de auditoría. Además, se ha modificado completamente el master o modelo de manual de calidad para incorporar en él los requisitos de la nueva normativa reguladora.
PROCEDIMIENTO PARA LA GESTIÓN DE RIESGOS EN [LA FIRMA]
OBJETIVO
La valoración de riesgos es un proceso mediante el cual se identifican y analizan los riesgos de [LA FIRMA] y que pueden afectar a la consecución de los objetivos.
Para ello es necesario analizar las condiciones, circunstancias, acciones u omisiones que pueden afectar de forma adversa el logro de sus objetivos de calidad, teniendo en cuenta la naturaleza y circunstancias de la firma de auditoría y sus encargos, para poder identificar y valorar de los riesgos de calidad y de organización interna.
Identificar los riesgos de calidad, que tengan una posibilidad razonable de que ocurran y que, en caso de ocurrir, puedan tener un efecto significativo en el logro de uno o más objetivos de calidad.
Valorar los riesgos de calidad identificados para diseñar respuestas que anulen o minimicen su impacto.
POLÍTICA
Describir las políticas y procedimientos a seguir por [LA FIRMA] para conseguir los objetivos de calidad respecto la gestión de riesgos.
ALCANCE
El presente procedimiento es aplicable a todo el personal de [LA FIRMA] y es aplicable a:
– Riesgos de la organización interna:
Riesgos que afecten a la actividad de auditoría (LAC art.28,66).
– Riesgos de
gestión de la calidad: Riesgo de que no se cumpla con la norma aplicable y de
que los informes que se emitan no sean adecuados a las circunstancias.
Para ello se usarán los procedimientos:
– Administrativos contables.
–
Administrativos para identificación de riesgos: incluyendo entre estos la
protección de los sistemas informáticos, tratamiento de datos personales y los
necesarios para asegurar la continuidad y regularidad de las operaciones
–
Del sistema de gestión y control de calidad para dar respuestas a los riesgos de
calidad.
RESPONSABILIDADES
La responsabilidad variará en función del área a la que afecten los riesgos. Será necesario ir al procedimiento general del área o áreas a las que afecte el riesgo para identificar al responsable o responsables del diseño e implementación de la respuesta al mismo.
OBJETIVOS DE CALIDAD
Los objetivos de calidad están definidos
para cada una de las áreas de este sistma de gestión y control de calidad en la
sección ÁREAS. Además de la descripción del área, existe un campo donde se
describen los objetivos de calidad de y de organización del área necesarios
cumplir con la normativa de auditoría y para
conseguir la calidad necesaria
en la realización de los encargos.
IDENTIFICACIÓN DE RIESGOS
Para la identificación de los riesgos que afectan a la organización, se realizará un DAFO o un método similar, mediante el cual se analizarán los factores externos e internos que podrían poner en riesgo la consecución de los objetivos establecidos para cada una de las áreas.
Estos riesgos se clasificarán atendiendo si son de gestión de calidad o si son de organización interna.
VALORACIÓN
Una vez identificados, éstos se valorarán atendiendo a dos ejes: Impacto o gravedad y Probabilidad o frecuencia.
La graduación del Impacto y Probabilidad para cada escenario de riesgo se asigna en una escala de 1 a 5, de acuerdo con los siguientes criterios para cada una de las variables consideradas:
Impacto o gravedad
– Insignificante: No tiene un efecto
significativo en los resultados anuales
– Menor: si las consecuencias obligan
a modificar algunos medios o procesos causando perturbaciones económicas
asumibles en los resultados anuales.
– Medio: si las pérdidas originan
dificultades considerables en el corto plazo obligando a modificar algunos
objetivos con repercusión en los resultados anuales.
– Grave: si su severidad
es tal en los resultados que obliga a reconsiderar no solo el corto plazo, sino
todos los planes de futuro de la organización.
– Catastrófica: si amenazan la
propia supervivencia de la organización.
Probabilidad o frecuencia
– Muy baja: No existe probabilidad de que
pueda acontecer algo.
– Baja: si sucede de forma extraordinaria (una vez en
la existencia de la organización).
– Media: si acontece rara vez (menos de
una vez cada diez años).
– Alta: si tiene lugar alguna vez en un periodo de
diez años.
– Muy alta: si ocurre todos los años. Mapa de calor
La multiplicación de la probabilidad por el impacto está asociada a una paleta de colores que varía desde verde claro hasta rojo, siendo el primero el riesgo mas bajo y siendo el último el riesgo mas alto.
La representación gráfica del impacto potencial y la probabilidad de cada riesgo hace que la importancia de la gestión de riesgos sea más tangible para los empleados, que no tienen una formación específica en gestión de riesgos.
Se consideran como significativos aquellos riesgos que estén fuera de la zona verde o zona segura.
En la sección de gestión de riesgos se deberá reflejar también quién ha realizado la valoración y en qué fecha.
RESPUESTAS
A continuación [LA FIRMA] establecerá un plan de acción o respuesta para responder a uno o varios riesgos de calidad. Estas respuestas pueden ser de varios tipos:
– Políticas o procedimientos
– Planes de
acción
– Acciones correctivas
– Establecimiento de indicadores de
calidad
– SEGUIMIENTO Y EVALUACIÓN
Al menos una vez al año, se comprobará la efectividad de las respuestas y medidas adoptadas y se evaluarán los riesgos para comprobar si dichas respuestas han contribuido a anular o minimizar los riesgos.