Las empresas pueden obtener diversas ventajas al contratar proveedores de servicios externos, como la posibilidad de aprovechar economías de escala, reducir costos y aumentar la eficiencia. No obstante, estas relaciones también conllevan el riesgo de disminuir el control que una organización tiene sobre su producto o servicio, lo que resalta la importancia de una gestión efectiva de los riesgos asociados a terceros.
Cuando los proveedores externos clave no cumplen con las expectativas de servicio o sufren fallas importantes, los perjuicios resultantes para sus clientes pueden ser considerables e incluso superar los daños originados por problemas internos. Por este motivo, los líderes empresariales y los consejos directivos confían en los auditores para asegurarse de que los riesgos, tanto internos como vinculados a terceros, sean identificados y evaluados. Además, se espera que haya controles internos adecuados y que la inteligencia sobre riesgos esté disponible para respaldar decisiones informadas.
Aunque es común que las organizaciones no evalúen los riesgos de sus proveedores y dejen la responsabilidad principal de esta evaluación a los propios proveedores, esto podría no ser prudente en la realidad. Los incidentes relacionados con proveedores externos están en aumento y, en muchos casos, tienen una visibilidad pública inmediata.
La función de la auditoría brinda confianza en los controles internos de una organización. Con el crecimiento de la externalización y sus riesgos asociados, el papel de la auditoría se ha ampliado para incluir garantías sobre los riesgos relacionados con terceros, incluso sobre los controles internos de los proveedores externos. Algunos contratos con terceros incluso contemplan cláusulas de derecho a la auditoría, permitiendo a los auditores realizar visitas en el lugar y obtener información para evaluar los controles en las instalaciones de terceros.
Los organismos profesionales han abordado esta cuestión y han establecido regulaciones para abordar los riesgos relacionados con terceros. Por ejemplo, en enero de 2015, la Junta de Normas de Auditoría y Aseguramiento de Australia emitió la norma ASAE 3150 sobre Garantías en Relación con Controles, y algunas organizaciones han comenzado a confiar en estos informes para asegurarse de que los riesgos de terceros se manejen adecuadamente. Además, el AICPA ha desarrollado informes de controles de sistemas y organizaciones (SOC).
Desde la perspectiva de la auditoría, se puede proporcionar seguridad en la identificación, evaluación y respuesta adecuada a los riesgos relacionados con proveedores externos. Para lograrlo, se pueden implementar estrategias como:
- Examinar el marco de gestión de riesgos aplicado a terceros.
- Evaluar el procedimiento de gestión de riesgos concerniente a terceros.
- Incorporar la evaluación de riesgos de terceros dentro de las revisiones de procesos.
- Ejecutar revisiones de terceros en los casos estipulados por los acuerdos contractuales.
Es recomendable que la organización cuente con un marco de gestión de riesgos de terceros bien definido, que esté alineado con su enfoque general de gestión de riesgos. Este marco puede basarse en modelos reconocidos, como el modelo COSO 2017, y abarcar aspectos como:
- Gobernanza y cultura.
- Estrategia y objetivos.
- Rendimiento y registros.
- Revisión y evaluación.
- Información, comunicación y reportes.
El apéndice G de la Guía de Prácticas de Auditoría de Terceros – Gestión de Riesgos ofrece pautas detalladas sobre cómo llevar a cabo una auditoría interna del marco y proceso de gestión de riesgos de terceros. La función de la auditoría interna garantiza que la organización gestione el riesgo de manera coherente con los requisitos reglamentarios y sus objetivos.
En conclusion, la auditoría juega un papel crucial al proporcionar confianza en la identificación y manejo de riesgos relacionados con proveedores externos. Se pueden utilizar varios enfoques para auditar la gestión de riesgos de terceros, y es importante que los auditores se mantengan actualizados en las regulaciones y normas técnicas relacionadas con los proveedores de servicios, dada su creciente importancia.
Ecovis Honduras
¡Para mayor información visita nuestro sitio web y contáctanos ya!
