Claves del Control Gerencial: Políticas y Procedimientos Esenciales

Normas Generales para Actividades de Control Gerencial

Las actividades de control gerencial se basan en políticas y procedimientos diseñados para administrar los riesgos y asegurar el cumplimiento de los objetivos. Es fundamental contar con procedimientos documentados que permitan ejecutar eficazmente estas actividades de control.

3.1. Procedimientos de Autorización y Aprobación

Todas las responsabilidades de cada proceso deben estar claramente definidas, asignadas y comunicadas al funcionario correspondiente. La ejecución de todas las actividades debe estar debidamente autorizada y aprobada.

Comentarios Clave:

1. Las autorizaciones solo deben ser realizadas por personal competente y deben formalizarse por escrito o por otro medio que deje constancia.
2. La aprobación consiste en dar conformidad por escrito, y esta servirá como punto de partida para otros procesos.

3.2. Segregación de Funciones

Para prevenir conflictos de interés y errores, ningún cargo debe tener el control de todas las etapas clave de un proceso.

Comentarios Clave:

1. Las funciones asignadas deben incluir autorización, procesamiento, revisión, control, custodia, registro de operaciones y archivo de documentación.
2. La profundidad de la segregación está en función del volumen de operaciones de la organización.
3. La rotación periódica de funcionarios evita que una sola persona sea responsable de una misma tarea por un tiempo prolongado, mitigando riesgos.

3.8. Documentación de Procesos, Actividades y Tareas

Todos los procesos y actividades deben estar documentados para facilitar la revisión y la trazabilidad de los productos y servicios generados.

Comentarios Clave:

1. Para garantizar una adecuada documentación, todos los procesos, actividades y tareas deben estar claramente definidos. Esta documentación también debe registrar los incidentes ocurridos, incluyendo, como mínimo, la descripción de los hechos, su efecto, las medidas correctivas y los responsables.
2. Toda modificación en los procesos, actividades y tareas debe ser registrada en la actualización de la documentación correspondiente.
3. Toda la documentación de los procesos, actividades y tareas debe estar disponible y accesible para facilitar su revisión.
4. La documentación debe asegurar el rastreo de errores o defectos en los productos o servicios generados (trazabilidad).

3.9. Revisión de Procesos, Actividades y Tareas

Los procesos, actividades y tareas deben ser revisados periódicamente para asegurar que cumplan con las políticas y procedimientos establecidos.

Comentarios Clave:

1. Las revisiones periódicas garantizan el cumplimiento de las normativas internas y aseguran la calidad de los productos y servicios. En caso de desviaciones, se deben aplicar las correcciones necesarias.
2. Estas revisiones son una oportunidad para plantear mejoras con el objetivo de aumentar la eficacia y la eficiencia operativa.

3.10. Controles para las Tecnologías de la Información y Comunicaciones (TIC)

La información es un activo clave provisto mediante el uso de TIC (datos, sistemas de información, instalaciones y personal). El control de las TIC es esencial e incluye la supervisión sobre el procesamiento de la información.

Comentarios Clave:

1. Los controles están conformados por la estructura, las políticas y los procedimientos que se aplican a las TIC. Los principales controles son:
   • Sistemas de planificación y gestión de la seguridad, aplicados en las áreas de desarrollo, producción y soporte técnico.
   • Segregación de funciones.
   • Controles de acceso general (seguridad física y lógica a los equipos).
   • Planes de continuidad del servicio.
2. Para la puesta en marcha de las TIC, se deben diseñar controles en las siguientes etapas:
   1. Definición de los recursos.
   2. Planificación y organización.
   3. Requerimiento y salida de datos.
   4. Adquisición e implementación.
   5. Servicio y soporte.
   6. Seguimiento y monitoreo.
3. La segregación de funciones en el ámbito de las TIC implica que las políticas, los procedimientos y la estructura no pueden ser controlados por una sola persona.
4. Se debe controlar el desarrollo y mantenimiento de los sistemas de información. Esto requiere autorización para la ejecución de proyectos, así como revisiones, pruebas y aprobaciones para las actividades de desarrollo y las modificaciones previas a la puesta en marcha. La decisión de desarrollar software internamente o tercerizarlo debe considerar las necesidades y los requerimientos de los usuarios, así como el aseguramiento de su operatividad.
5. Los controles de aplicación deben incluir la supervisión del ingreso de datos, el proceso de transformación y la salida de información, ya sea por medios físicos o electrónicos. Los controles para el área de desarrollo deben cubrir:
   • Análisis
   • Desarrollo
   • Pruebas
   • Pase a producción
   • Mantenimiento y cambio de aplicación