Auditorías eficaces del Sistema de Gestión Antisoborno
Las auditorías son un elemento fundamental para lograr el mejoramiento del Sistema de Gestión Antisoborno, y su éxito depende tanto de tener un proceso que siempre se encuentre enfocado en el mejoramiento continuo, como de la competencia de los auditores.
¿Qué se debe evaluar?
Es responsabilidad de la organización evaluar el desempeño antisoborno y la eficacia y eficiencia del sistema antisoborno. En dicha evaluación se deberían medir:
- Los riesgos y los casos en que no se cumpla con los requisitos antisoborno.
- El incumplimiento de objetivos.
- El estado de la cultura de cumplimiento y la efectividad de las acciones de comunicación.
La organización podrá reevaluar periódicamente, ya sea en toda la organización o en partes de ella, la eficacia de su sistema de gestión antisoborno.
Estas auditorías deben ser razonables, proporcionadas, y basadas en el riesgo. Las mismas deben consistir en procesos de auditoría interna u otros procedimientos que revisen los procedimientos, controles y sistemas para:
- Soborno o sospecha de soborno;
- Violación de los requisitos de la política antisoborno o del sistema de gestión antisoborno;
- Fracaso de que los socios de negocios se ajusten a los requisitos antisoborno aplicables de la organización; y;
- Debilidades u oportunidades de mejora en el sistema de gestión antisoborno.
Es importante señalar que el requisito de auditoría de la norma no significa que una organización esté obligada a tener su propia función de auditoría interna independiente.
La norma requiere que la organización designe una función o una persona competente e independiente con la responsabilidad adecuada para llevar a cabo esta auditoría. Una organización puede utilizar a un tercero para operar la totalidad de su programa de auditoría interna, o para implementar determinadas partes de un programa existente.
La frecuencia de las auditorías dependerá de las necesidades de la organización. Es una buena práctica que algunos proyectos, contratos, procedimientos, controles y sistemas sean seleccionados cada año como muestra para ser auditados.
Las auditorías normalmente necesitan planificarse con anticipación para que las partes relevantes dispongan los documentos necesarios y el tiempo disponibles. Sin embargo, en algunos casos la organización puede considerar útil realizar una auditoría inesperada a las partes auditadas.
Si una organización tiene un órgano de gobierno, el órgano de gobierno también puede dirigir la selección y la frecuencia de las auditorías de la organización según considere necesario, con el fin de ejercer la independencia y ayudar a garantizar que las auditorías sconsideran a las áreas de riesgo de soborno primario de la organización.
El órgano de gobierno también puede requerir el acceso a todos los informes de auditoría y los resultados, y que las auditorías que identifican ciertos tipos de cuestiones de riesgo más altos de soborno o los indicadores de riesgo de soborno se reporten al órgano de gobierno tras la finalización de las auditorías.
Normas de referencia
En cuanto a las normas de referencia que pueden usarse para las auditorías tenemos la ISO 19011: 2018, Guías para auditorías de Sistemas de Gestión de Calidad y la norma ISO 17021-9:2016 Evaluación de la Conformidad, Requerimientos para organismos que proveen auditoría y certificación de Sistemas de Gestión, Requerimientos de Competencia para Auditoría y Certificación de Sistemas de Gestión Antisoborno.
La norma 19011 da criterios generales para preparar los programas y planes de auditoría y ver en términos generales la competencia necesaria de los auditores. La noma 17021-9 contiene los requisitos que deben cumplir los auditores de tercera parte, pero nos servirá de base para definir competencias específicas para el equipo de auditores internos.
Como norma base de los requerimientos se tiene la norma ISO 37001:2016 y sus anexos que servirán de guía en el proceso.
Competencia del auditor
El equipo auditor debe tener conocimiento de los escenarios de soborno relacionados con al menos lo siguiente:
a) personal, reclutamiento, contratación y remuneración;
b) actividades comerciales;
c) viajes, regalos y hospitalidad;
d) donaciones y patrocinios;
e) compras y contrataciones;
f) ventas y marketing;
g) fabricación y cadena de suministro;
h) procesos contratados externamente;
i) fusiones y adquisiciones.
El equipo auditor debe tener conocimiento de los controles utilizados para prevenir, detectar y enfrentar al soborno y las consecuencias de controles inadecuados o ausentes.
Adicional a los escenarios de soborno, el auditor debe ser competente en manejar:
- Contexto de la organización,
- Leyes, regulaciones y otros requisitos,
- Evaluaciòn del riesgo de soborno y debida diligencia,
- Riesgo de soborno,
- Controles Antisoborno,
- El Sistema de Gestión Antisoborno de manera sistémica.
Finalmente
Hay que recordar que la eficacia de la auditoría depende tanto de procesos como de personas para que se transforme en una herramienta de mejora y que permita en este caso disminuir los riesgos de soborno. Un auditor debe conocer la norma (los debe) y mirar la eficacia de los modelos implementados en las organizaciones (los cómo) y en base a lo anterior generar los hallazgos de auditoría que llevarán a la organización al mejoramiento continuo.
Elaborado por: Ing. César Díaz, Corporación 3D
