¿Cuál es el papel de la auditoría interna en la gestión de riesgos?

 En pocas palabras, la auditoría interna es un componente esencial del gobierno corporativo; su aplicación requiere sistemas fiables de identificación y evaluación de riesgos, sistemas de control eficaces y respuestas oportunas.

En otras palabras, es necesaria la integración de los sistemas de gestión de riesgos y de control interno: una tarea que corresponde principalmente al auditor interno.

¿Quién es el auditor interno?

Hoy en día, el auditor interno ya no es el que realiza auditorías limitadas a los aspectos de cumplimiento de la normativa y los procedimientos, sino que se le pide que evalúe actividades más amplias en los ámbitos del control sistémico, la consultoría organizativa y la gobernanza en su conjunto.

Hoy en día, el auditor interno es mucho más que eso; es la figura que debe

- proporcionar apoyo proactivo a la alta dirección en la creación de una gobernanza de procesos eficaz y eficiente;

- evaluar y mejorar la eficacia y eficiencia de los procesos de gestión de riesgos, control y gobierno corporativo.

El pensamiento basado en el riesgo en la norma ISO 19011:2018

Ante la creciente importancia del auditor interno, la norma ISO 19011:2018, publicada en julio de 2018, titulada "Directrices para la auditoría de los sistemas de gestión", reguló ampliamente las auditorías, con un enfoque en las auditorías de primera parte (las auditorías internas), para abordar la necesidad de adaptarlas al pensamiento basado en el riesgo, a través de:

- la introducción en el propio documento del concepto de riesgo ("el enfoque basado en el riesgo debe influir sustancialmente en la planificación, la realización y la presentación de informes de las auditorías para garantizar que éstas se centran en cuestiones significativas para el cliente de la auditoría y para alcanzar los objetivos del programa de auditoría")

- la indicación de las modalidades a través de las cuales debe realizarse la auditoría de un sistema que transpone y adopta el enfoque basado en el riesgo: la norma no se limita a especificar determinados aspectos de las actividades de auditoría (interna), sino que contiene una serie de "apéndices temáticos" que -aunque requieren la interpretación contextualizada del auditor para ser concretamente eficaces- proporcionan indicaciones útiles en los casos específicos que en ellos se analizan (auditorías de contexto, auditorías de liderazgo y compromiso, de riesgos y oportunidades, etc.).

Pero, ¿cuáles son las aptitudes, competencias y cualificaciones que debe tener un auditor interno de ciberseguridad para realizar su trabajo con eficacia?

La confianza en el proceso de auditoría y la capacidad de alcanzar los objetivos depende de la competencia de las personas que participan en la planificación y la realización de las auditorías: competencia que debe evaluarse mediante un proceso que tenga en cuenta el comportamiento personal y la capacidad de aplicar los conocimientos y las habilidades adquiridos a través de la educación, la experiencia laboral, la formación, la capacitación de los auditores y la experiencia en la realización de auditorías.

La norma ISO 19011:2018 especifica que algunos de los conocimientos y habilidades descritos son comunes a los auditores de cualquier disciplina de los sistemas de gestión, mientras que otros son específicos "de las disciplinas individuales de los sistemas de gestión".

Conocimientos y habilidades comunes del auditor

Los auditores deben tener conocimientos y habilidades en las áreas de:

1) principios, procedimientos y métodos de auditoría, de forma que el auditor sea capaz de aplicar los principios, procedimientos y métodos adecuados a las diferentes auditorías, y de garantizar que las propias auditorías se realicen de forma coherente y sistemática;

2) sistema de gestión y documentos de referencia, para comprender el alcance;

3) contexto organizativo;

4) los requisitos legales y contractuales aplicables.

Competencias específicas

No es necesario que cada auditor del equipo de auditoría posea la misma competencia, pero sí que la competencia global del equipo de auditoría sea suficiente para alcanzar los objetivos de la auditoría.