Marco Regulatorio y Procedimientos de Atestiguamiento: SOX y Controles Internos

Presentación del Informe de Atestiguamiento

El informe sobre un trabajo de atestiguamiento debe describir el propósito y los procedimientos inherentes al trabajo con suficiente detalle para permitir al lector comprender la naturaleza y el alcance del trabajo desarrollado.

Recomendaciones para el Título

• Se recomienda usar el término "Independiente" en el título, para distinguir de informes que podrían ser emitidos por otras partes.

Tipos de Conclusiones en Informes

Las conclusiones pueden variar según el nivel de seguridad proporcionado:

I. Conclusión Limpia (o No Modificada)

Se emite cuando no se encontraron desviaciones significativas.

II. Conclusión con Salvedades

• Se expresa como "excepto por" los efectos del asunto al que se refiere la salvedad.

III. Conclusión Adversa

Se emite cuando las desviaciones son tan significativas que el informe no es confiable.

IV. Abstención de Conclusión

Se emite cuando no se pudo obtener evidencia suficiente para formarse una opinión.

Unidad VI: Ley Sarbanes-Oxley (SOX)

Definición y Propósito de SOX

• La Ley Sarbanes-Oxley, también conocida como la Ley de Reforma de la Contabilidad Pública de Empresas y de Protección al Inversionista, es una legislación de los Estados Unidos.
• Es comúnmente referenciada como SOX, SarbOx o SOA.
• SOX se originó con el fin de monitorear empresas que cotizan en bolsa de valores, previniendo que la valorización de las acciones sea alterada de manera dudosa mientras su valor es menor.
• Su finalidad principal es evitar fraudes y el riesgo de bancarrota, protegiendo así al inversor.
• Esta ley, más allá del ámbito nacional de EE. UU., involucra a todas las empresas que cotizan en la NYSE (Bolsa de Nueva York), así como a sus filiales.

Alcance de Aplicación

La ley aplica a:

• Todas las compañías, americanas y no americanas, que presentan o están obligadas a presentar informes periódicamente a la Securities and Exchange Commission (SEC).
• Cualquier empresa que se encuentre inscrita en la Bolsa de Valores de Nueva York (New York Stock Exchange) está sujeta a esta normativa.

Hitos y Secciones Clave de la Ley

A continuación, se detallan fechas importantes en la implementación de SOX:

• 30 de julio de 2002: SOX se convierte en ley e incluye penalizaciones criminales (Sección 906).
• Agosto 29, 2002: La SEC publica las normas finales acerca de las certificaciones ejecutivas (Sección 302).
• Octubre 22, 2002: La SEC publica las normas propuestas acerca de los reportes de control interno (Sección 404).
• Noviembre 5, 2002: La SEC publica las normas propuestas sobre revelación rápida de la información financiera (Sección 409).
• Junio 9, 2003: La SEC publica las normas finales sobre control interno en los reportes financieros (Sección 404).

Entregables para el Cumplimiento

Narrativa de Proceso

Este entregable debe:

• Describir los pasos del proceso desde el inicio hasta el fin.
• Identificar tareas clave y sus responsables específicamente relacionados con iniciar, registrar, procesar y reportar.
• Identificar los sistemas clave usados y los documentos/reportes asociados.

Flujograma

El flujograma debe:

• Ilustrar visualmente las principales actividades.
• Identificar riesgos y controles en cada paso del proceso.
• Identificar sistemas, documentos y reportes clave.

Walkthroughs (Recorrido de Transacciones)

Los recorridos son esenciales para la verificación:

• Se toma una transacción y se "recorre" por todos los pasos dentro del proceso para verificar que el diseño de los controles opera efectivamente.
• Se califica cada control como efectivo o inefectivo.

Ciclo Trimestral de Evaluación y Pruebas

Trimestralmente se llevarán a cabo las siguientes actividades:

1. Auto-evaluación: Realizada por parte de los dueños de los controles.
2. Walkthrough/Recorrido: Ejecutado por parte del Coordinador SOX.
3. Evaluaciones de la efectividad de la operación (Testing): Realizadas por Auditores Externos con la participación del Departamento de Auditoría Interna.
4. Remediación: Corrección de las brechas identificadas.
5. Re-testing: Nueva verificación de los controles remediados.