IGI-SCI-MA-01 00 Manual de Auditoría Interna

Manual de Auditoría InternaAuditoría Corporativa
No. de versión: Fecha de aplicación: Clave:

00 30/06/19 IGI-SCI-MA-01
Manual de Auditoría
InternaAuditoría
Corporativa
Mónica Sánchez García Daniel Portela González

Gerente de
Gerente de Auditoría InternaAuditoría Corporativa
Métodos y Procedimientos
Elaboró
Revisó
Adrián Rivera Coello Jorge Zapata Alvarado

Director Subdirector de Contraloría
Director General
InternaCorporativa
Autorizó
Autorizó
Clave: IGI-SCI-MA-01 Fecha de Aplicación: 30/06/19 Número de Revisión: 00 Página 1 de 18

Continúa, Manual de Auditoría InternaAuditoría Corporativa
1. Objetivo
Contribuir al reforzamiento y mejora de la efectividad del gobierno corporativo y de sus controles internos, así
como de las herramientas con las que se debe contar apoyándose en la adecuada aplicación de las
metodologías y procedimientos que permitan evaluar el diseño y la efectividad de los controles en los diferentes
procesos; con la finalidad de prevenir o detectar errores, riesgos, etc. Así como realizar la planeación y
programación de trabajo de campo, siempre diseñado a la medida de la plataforma, proyecto de inversión o
proceso auditado y se deberán obtener evidencias suficientes y competentes sobre los hallazgos para poder
emitir las conclusiones que sustenten la calificación de auditoría, todo acorde con el programa anual de trabajo
previamente aprobado por el Comité de Auditoría o a solicitud de la Dirección General.
2. Alcance
El presenta Manual de Auditoría InternaAuditoría Corporativa aplica a INVEX Grupo Infraestructura y sus
Afiliadas.
3. Responsabilidades
Director General:
- Asegurarse que el personal a su cargo conoce y cumple con las políticas y procedimientos descritos
en el presente Manual de Auditoría InternaAuditoría Corporativa.
Auditoría InternaAuditoría Corporativa:

- Mantener actualizado el presente Manual de Auditoría InternaAuditoría Corporativa, así como
también, el vigilar que se realicen en tiempo y forma las modificaciones y/o actualizaciones que
correspondan.
- Exponer al titular del área y/o proceso sujeto a revisión, la presentación de inicio de auditoría con
los alcances y objetivos de la revisión.
- Revisar la efectividad y el diseño de los controles descritos en las matrices de riesgos y controles.
- Desarrollar los procedimientos de auditoría (trabajo de campo).
- Documentar en papeles de trabajo de cada revisión en particular.
- Elaborar los informes que muestra el resultado de las revisiones.
- Realizar seguimiento de planes de acción.
Área auditada:
- Atender las reuniones y los requerimientos de información de auditoría internaAuditoría Corporativa.
- Entregar planes de acción derivadas de observaciones y/o recomendaciones realizadas por las
auditorías efectuadas.
4. Definiciones
Término Definición
Auto Audit Sistema de gestión de auditoria interna para administrar el programa de trabajo anual,
la asignación y medición de recursos, evaluar los riesgos a nivel de procesos, dar
seguimiento de hallazgos, resguardar evidencia documental de los papeles de trabajo
de las auditorías.
Auditoria Interna Ayuda a la organización a cumplir sus objetivos aportando un enfoque sistemático y
disciplinado para evaluar y mejorar la eficacia de los procesos de gestión, y control.
Comité de Auditoría Es el Grupo de Miembros Independientes responsables entre otras actividades, de la
gestión y administración de las funciones del área de Auditoría CorporativaInterna
(CAC).
Gobertia Solución tecnológica para el funcionamiento eficiente, y resguardo de información de
los órganos de gobierno.
Planes de acción Son actividades que se derivan de una observación, que priorizan iniciativas para el
Término Definición
Auto Audit Sistema de gestión de auditoria interna para administrar el programa de trabajo anual,
la asignación y medición de recursos, evaluar los riesgos a nivel de procesos, dar
seguimiento de hallazgos, resguardar evidencia documental de los papeles de trabajo
de las auditorías.
cumplimiento de los objetivos y metas de la organización y definen a los responsables
para su ejecución.
Procedimientos de Conjunto de técnicas o métodos de revisión, mediante los cuales se obtiene la
Auditoría evidencia para respaldar las conclusiones u opinión del Supervisor, los cuales se
InternaAuditoría agrupan en: Pruebas de control, Pruebas analíticas o de detalle y Pruebas
Corporativa sustantivas.
SLA (Acuerdo de Nivel Acuerdo escrito entre un proveedor y su cliente para fijar el nivel acordado de calidad,
de Servicio) tiempo, cualidad, etc.
5. Desarrollo
El presente Manual de Auditoría InternaAuditoría Corporativa establece el proceder de INVEX Grupo

Infraestructura, S.A.P.I. de C.V.; y de sus empresas afiliadas, para la adecuada gestión y optimización de
las auditorías. Se compone de 4 etapas de apoyo que permiten prestar un servicio de calidad bajo la
metodología de COSO, NIA y Matrices de Control.
La primera etapa es Planeación: Incluye la identificación de los tipos de auditorías que se pueden realizar y
los marcos de referencia que se deben utilizar para la elaboración, presentación y aprobación del Plan de
Trabajo Anual.
La segunda etapa es Ejecución: En esta etapa se realizan las pruebas previamente programadas para
evaluar los controles, se clasifican las observaciones por el nivel de riesgo que representan para INVEX
Grupo Infraestructura y se registran en papeles de trabajo.
La tercera etapa es Informe: Se debe presentar los avances de las auditorías realizadas, mensualmente se
presenta a la Dirección General y de forma trimestral se presenta al Comité de Auditoría para su
aprobación.
La cuarta etapa es Seguimiento: En esta etapa se debe realizar el seguimiento en las fechas acordados en
los planes de acción de los auditados.

Contenido:
1. Políticas Generales
[1.1] Funcionamiento del Auditoría InternaAuditoría Corporativa
[1.2] Gestión de Auditoria InternaCorporativa
[1.2.1] Planeación del Programa de Trabajo de Auditoría InternaAuditoría Corporativa

1.1.1.1[1.2.1.1] Tipos de Auditorías
1.1.1.2[1.2.1.2] Marcos de Referencia
1.1.2[1.2.2] Ejecución
1.1.2.1[1.2.2.1] Observaciones
1.1.2.2[1.2.2.2] Documentación soporte de las Auditorías
1.2[1.3] Informes
1.2.1[1.3.1] Dirección General y Comité de Auditoría
[1.4] Otras actividades de Auditoría InternaAuditoría Corporativa

[1.1] Funcionamiento Estructura de Reporte de Auditoría InternaAuditoría Corporativa
Consejo de
Administración
Dirección
General
Comité de
Auditoría
Auditoría
Corporativa
1.1[1.2] Gestión de Auditoria Interna
JUICIO PROFESIONAL Y PRINCIPIOS PARA AUDITORES
¿Qué es el juicio profesional?
Con base a las Normas de Información Financiera (NIF A-1) el juicio profesional se refiere “al empleo de
los conocimientos técnicos y la experiencia necesarios para seleccionar entre posibles cursos de acción”.
Para la función de auditoría, esto significa que no es suficiente tener conocimientos técnicos, como
tampoco es suficiente contar con los lineamientos y las herramientas que contienen este manual. Para
realizar auditorías en INVEX Grupo Infraestructura, además de contar con conocimientos y herramientas
los auditores deberán desarrollar la capacidad de utilizar estos recursos eficazmente, para formarse una
opinión propia sobre los datos, hechos y circunstancias que se relacionen con los eventos relacionados a
la auditoría y así cubrir los objetivos generales y específicos establecidos para cada proyecto de auditoría.
En otras palabras, aplicar los cuestionarios, procedimientos y las ayudas que contiene este manual, es
apenas la mitad del camino, con la información que recabes deberás realizar un análisis, para preguntarte
si has llegado a formarte una opinión sólida y si esta está claramente documentada en los hechos,
documentos y otra información que recabes (a los que en adelante llamaremos evidencia de auditoría), con
el fin de cubrir ampliamente todos los objetivos de la auditoría.
Es cierto que formarse un juicio profesional es una habilidad que se aprende con la práctica; sin embargo,
existen algunos principios que pueden ayudar a los auditores a formarse un juicio y a conducirse de forma

profesional en los trabajos que se les asignen, por ello, los auditores de INVEX Grupo Infraestructura
deberán observar los siguientes principios en todas las auditorías que realicen:
Principios para la ejecución de las auditorías en INVEX Grupo Infraestructura
Conducta Ética. La Dirección de Auditoría Corporativa se apega al Código de Ética y Conducta de INVEX
Grupo Infraestructura y a los de los proyectos donde se tenga participación.
Independencia. Los auditores internos y los corporativos de INVEX Grupo Infraestructura reportamos al
Director de Contraloría Corporativa, el que a su vez reporta a la Dirección General y el Comité de Auditoría
del Grupo, esta línea de reporte asegura que los resultados de las auditorías sean comunicados sin
restricción, en el caso de ser necesario. La Dirección de Auditoría Corporativa comprende la importancia
de su función y siempre será celosa de su independencia; por ello, debe evitar solicitar o recibir favores del
personal operativo y de dirección, así como establecer relaciones de cualquier otra índole distinta a la
profesional para la conducción de las auditorías. Es también esencial que no existan lazos directos de
familia entre los miembros de la auditoría y el personal a ser auditado; de existir alguna relación, debería
solicitarse aprobación a la Dirección de Auditoría Corporativa (DAC en adelante) y dejarlo reflejado en los
informes de auditoría respectivos. Este principio es parte de los Códigos de Ética y Conducta del Grupo,
para mayor información refiérete al Código.
Lo que no nos consta, no lo reportamos como hallazgo. En ocasiones podemos recibir comentarios de
terceros sobre actividades u operaciones en los proyectos donde se tenga participación que éstos
encuentran inadecuadas. Cuando dicha situación se presenta, debemos considerar la información recibida
como un indicio, el que debemos investigar y sobre el que debemos obtener toda la evidencia necesaria
hasta llegar a validarlo o desestimarlo. Nuestros hallazgos de auditoría deben basarse en los resultados de
la ejecución de nuestras pruebas de auditoría, SIEMPRE.
Lo que no podemos comprobar, no existe. En el caso de que no podamos obtener evidencia fehaciente de
la ejecución o existencia de algún control o salvaguarda, para fines prácticos, debemos calificarlo como un
incumplimiento, toda vez que dar confianza a un evento del que no podemos satisfacernos sobre su
existencia o ejecución significaría darle confianza de forma injustificada. Por principio debemos ser
suspicaces. Es decir, que no debemos de creer todo lo que se nos dice, sino formarnos una opinión propia
y profesional, con base en todos los elementos que se relacionen con el evento que estamos auditando,
porque los auditores debemos de contar siempre con evidencia suficiente y competente que soporte
nuestras opiniones profesionales.
Una vez determinadas las muestras, estas no se reducen. En algunos casos cuando el universo a auditar
está muy fragmentado; por ejemplo, cuando revisamos cambios a programas y la empresa ha realizado
más de 100 en el período auditado, es muy probable que elijamos una muestra para ejecutar algún
procedimiento de auditoría como por ejemplo obtener evidencia documental o confirmación directa.
Cuando tengas una muestra para revisar, no podrás decidir dejar de revisar ni una sola de las partidas que
componen dicha muestra. Además, es muy importante considerar que cuando se encuentren excepciones
en nuestras muestras, estas deberán extrapolarse al resto del universo de partidas. Por lo que, si en una
muestra encontraste un error, deberás estimar cuantos errores podría haber en el total del universo
auditado.
Trabajo en equipo. El trabajo de auditoría tiene un fin común que persiguen todos los miembros del equipo,
si una persona es ineficiente o no apoya al resto del equipo, no está apoyando el fin común, que finalmente
será la medida de calificación para el trabajo de todos los miembros del equipo; por ello, la actitud de
“jugador de equipo” es una actitud que se espera de parte de todos y cada uno de los miembros de los
equipos de auditoría.
Confianza. Como auditores debemos facilitar e incrementar la confianza en nuestro trabajo actuando con
transparencia en las actividades profesionales que se nos asignen, sin la necesidad de exponer de manera
técnica o exhaustiva los hallazgos que debamos comunicar a los Directivos, por lo que debemos
expresarnos con un lenguaje claro, sin tecnicismos que confundan o dejen un vacío en nuestros
interlocutores.

[1.2.1] Planeación del Programa de Trabajo de Auditoría InternaAuditoría Corporativa
Para efectos de este manual, se deberá considerar la función de Auditoría Corporativa, como la actividad
independiente de aseguramiento y de consultoría, diseñadas para agregar valor y ayudar a los proyectos a
alcanzar sus objetivos a través de un enfoque sistemático y disciplinado, con el fin de evaluar y mejorar la
efectividad de su administración de riesgos, de control y procesos de gobierno.
De forma general, la metodología de auditoría que se establece en este manual, consiste en las siguientes
actividades:
Identificar:
• Los objetivos estratégicos de cada negocio (entidad) o proyecto.

• Los planes estratégicos para el logro de los objetivos.
• Los riesgos significativos.
• Los procesos críticos o de alto impacto, sus objetivos y la forma de medición de su desempeño,
incluyendo los objetivos del control interno.
Analizar o evaluar (riesgos) y probar (controles):

• Los riesgos que pueden afectar el logro de los objetivos estratégicos y su relación con los factores de
riesgo presentes en los procesos críticos o de alto impacto.
• La infraestructura establecida para la mitigación de los riesgos.
• El funcionamiento de los controles establecidos.
• Que los riesgos asumidos se encuentren dentro de los niveles aceptables.
Evaluar e informar:
• Las deficiencias o debilidades identificadas y su impacto.
• El origen o causa raíz de las deficiencias o debilidades encontradas, en referencia al sistema de control
interno.
• Las recomendaciones que pueden coadyuvar a la mejora.
Verificar:
• La realización de acciones para la remediación de las observaciones.
DEFINICIÓN Y ENFOQUE DE AUDITORÍA

Las etapas a seguir en cualquier auditoría son las siguientes:

Se presenta un mapa que permite ver gráficamente las etapas de la vida del proyecto, las fases de la
metodología y como se relacionan en los diferentes tipos de auditorías.
FASE DE LA METODOLOGIA TIPO DE AUDITORÍA
Basada
Riesgos Información Procedimiento
ACTIVIDAD en Cumplimiento
TI Financiera convenido
Riesgos
Planeación y
Administración del P P P P P
MONITOREO Y SUPERVISIÓN
Proyecto
PLANEACIÓN Evaluación del control
interno
P P P P
Consideraciones de
Fraude
P P P P P
Pruebas de Controles P P P
Determinación de
Materialidad
P
EJECUCIÓN Riesgo de Auditoría P P P P P
Pruebas Sustantivas P P
Papeles de Trabajo P P P P P
CONCLUSIÓN
Conclución y cierre P P P P P
Seguimiento a
Y REPORTE
Observaciones
P P P P P
Todos los trabajos ejecutados por Auditoría Corporativa deben ser documentados y resguardados
electrónicamente en la herramienta del área.
Aprobación del Plan Anual de Auditoría Corporativa
Debido a que el área de Auditoría Corporativa, como cualquier otra área de INVEX Grupo Infraestructura,
disponen de recursos humanos y económicos finitos para el logro de sus objetivos, debemos buscar de
forma intencional y continua que los recursos se inviertan eficientemente. La mejor forma de lograr
nuestros objetivos de generación de valor y al mismo tiempo ser eficientes, es mediante una adecuada
planeación estratégica de los proyectos de auditoría, la que inicia con la selección de las unidades de
negocio, áreas o procesos a auditar con base en un plan a largo plazo, del que se desprende un plan anual
que guiará al equipo de auditoría en las metas específicas que deberán cumplir cada año calendario.
Auditoría Interna Corporativa debe elaborar y presentar de forma anual para su aprobación al Comité de
Auditoría el “Programa Anual de Trabajo”., el cual debe considerar: Para llevar a cabo la selección de los
proyectos donde el Grupo tiene participación, se pueden considerar: reportes de la Administración de
Riesgos, factores de riesgo, o una combinación de ambos. Los factores de riesgo son aspectos relevantes
que pueden afectar nuestra visión de lo que es importante desde la perspectiva del negocio, entre otros
factores de riesgo, para seleccionar los proyectos se consideran:
a. Importancia que representa el proceso o actividad para INVEX Grupo Infraestructura. Se determina
considerando los volúmenes de operación, el nivel de automatización de éstos, la exposición al
riesgo que presentan, los controles implementados para mitigar los riesgos y el análisis financiero,
por mencionar algunos.
b. La clasificación de los procesos o actividades por grado de riesgo, utilizando la Matriz de evaluación
de riesgo del proceso o actividad del área de Contraloría Interna.
c. El seguimiento de acuerdo a los resultados obtenidos en auditorías realizadas previamente por las
Auditores Externos e Internos.
El plazo para realizar de las auditorías es variable porque dependen de factores tales como: enfoque,
objetivo, alcance, etc., los cuales determinan la duración de cada una de las revisiones

Auditoría InternaAuditoría Corporativa debe informar periódicamente al Comité de Auditoría sobre el

seguimiento al programa de trabajo autorizado y, en caso de requerirse, de aquellas auditorías que fueron
reprogramadas por alguna situación.
El plan anual de auditoría y sus cambios serán presentados al Director General y para aprobación al
Comité de Auditoría.
1.2.1.1.1Gestión Tipos de Auditoria Internaaplicables
a. Auditoría Financiera. - El objetivo es dar razonabilidad y determinar si la información financiera

presenta razonablemente la situación financiera de INVEX Grupo Infraestructura, y en su caso,
de acuerdo a la normatividad que le sea aplicable, y que constituya una herramienta en la toma
de decisiones.
b. Auditoría de Cumplimiento. - Consiste en revisar y evaluar los métodos, sistemas y

procedimientos que se siguen en todas las fases del proceso administrativo, para asegurar el
cumplimiento de leyes, reglamentos y políticas.
c. Auditoría Operacional. - Consiste en revisar parcial o totalmente las actividades y los

procedimientos adoptados por INVEX Grupo Infraestructura con la finalidad principal de evaluar
si las políticas y procedimientos, son suficientes para contar con un nivel óptimo de eficiencia y
eficacia.
d. Auditoría de Sistemas. - Radica en identificar, revisar y evaluar las políticas y procedimientos

implementados para la operación de los sistemas, garantizando la integridad, continuidad y
seguridad de la información sensible.
e. Auditoria Legal. - Consisten en la revisión de toda la documentación relacionada al área

corporativa legal y administrativa, con el propósito de evaluar el estado legal de INVEX Grupo
Infraestructura, precisando sus fortalezas y debilidades.
f. Auditoria de Gestión. - Consisten en la revisión que se realiza a una organización con el

propósito de evaluar el grado de eficiencia y eficacia con que se manejan los recursos
disponibles y se logran los objetivos previstos por el ente
g. Proyectos especiales. - Son revisiones fuera del Programa Anual de trabajo como resultado
de incidencias en la operación, observaciones recurrentes, o por solicitud del Comité de
Auditoría, de la Dirección General o de alguna Dirección de IGI, así como por instrucción directa
de cualquier autoridad que regula a INVEX.
Administración y Evaluación de Riesgos
A) Cuando existe un proceso formal de evaluación de riesgos.
En los casos en que se cuente con la información de la administración de riesgos, se podrá establecer
un plan que puede abarcar de 2 a 3 años, o bien directamente preparar el plan anual, como se indica
en los siguientes pasos:
1. Determinar el universo auditable de procesos (mapeo basado en técnicas de análisis de procesos).
2. Utilizar una escala de medición de importancia por proceso o riesgo agregado a nivel proceso,
cruzando por medio de matrices los riesgos contra los procesos que estos afectan. Aquellos
procesos que sean tocados más veces y por riesgos más altos, serán los más importantes para el
plan.
3. Determinar en un plan de 2 a 3 años la frecuencia con la que los procesos serán auditados,
identificando aquellos que deberán realizarse en el año calendario en curso. Cuando se opte por el
plan de 2 a 3 años, en el año 2 y 3 se deberá realizar una breve revisión para determinar si las

evaluaciones de riesgo han cambiado, en cuyo caso deberá hacerse la modificación

correspondiente al plan.
4. Estimar el tiempo que se requerirá para realizar los proyectos y distribuir los recursos entre los
proyectos de auditoría planeados para un año. En este paso deberá considerarse que en caso de
que el control interno no sea efectivo, las pruebas deberán incluir procedimientos sustantivos
amplios para evaluar si los riesgos se materializaron en el período de revisión.
B) Cuando no existe un proceso formal de evaluación de riesgos
En los proyectos donde participa INVEX Grupo Infraestructura en las que no se cuente con un proceso
de administración de riesgos formal o que éste se encuentre en proceso de implementación, podrá
realizarse una evaluación basada en la experiencia del Director de Contraloría o el Gerente de
Auditoría Corporativa considerando los resultados de auditorías anteriores (internas o de auditores
externos), percepción de la Dirección General del Grupo, materialidad, o cualquier otro elemento, que
deberá ser aprobado por el Director de Contraloría, Dirección General y el Comité de Auditoría en su
caso.
1.2.1.2 Marcos de Referencia
Para el desarrollo de las auditorías programadas se debe considerar:
a. Código de Ética emitido por el Instituto de Auditores Internos (IIA).

b. Normas de Auditoría para atestiguar, revisión y otros servicios relacionados, emitidas
por el Instituto Mexicano de Contadores Públicos.
c. Normas Internacionales para el ejercicio profesional de la Auditoría Interna emitidas por
The Institute of Internal Auditors.
d. Normas para el ejercicio profesional de la Auditoría Interna emitidas por el Instituto
Mexicano de Auditores Internos, A.C.
e. Leyes, Disposiciones y Circulares vigentes que les son aplicables a IGI.
f. Committee of Sponsoring Organizations of the Treadway Commission Enterprise Risk
Management (COSO ERM).
g. Manuales y procedimientos involucrados en el proceso sujeto a revisión.
1.1.1[1.2.2] Ejecución:
Esta actividad se refiere a la ejecución de las pruebas incluidas en los respectivos programas para
evaluar la eficacia operativa de los controles de acuerdo con los resultados de las pruebas realizadas.
El personal auditado del proceso está obligado a atender las reuniones y los requerimientos de
información.
La reunión de inicio se presentará al Director del área o proceso sujeto a revisión el cual deberá
contener de forma general:
a. El objetivo.
b. El alcance, detallando el periodo y los subprocesos sujetos a revisión.
c. La metodología de revisión.
d. El calendario que muestre la fecha de inicio, la reunión para comentar avances y la fecha de
conclusión de la auditoría.
e. Requerimiento inicial de información.
A partir de la reunión de inicio, el auditor podrá realizar requerimientos de información adicionales a los
manifestados en la presentación inicial.
En caso de no tener respuesta en el plazo establecido, se enviará un recordatorio con copia a su

Director inmediato, en caso de continuar la omisión, al siguiente día hábil se hará un segundo
recordatorio con copia al Director General. Si por alguna razón el área sujeta a revisión no atiende el

requerimiento o no proporciona sus comentarios y/o planes de acción, se reportará como una limitación
al alcance y en su caso, como observación de riesgo alto al Comité de Auditoría.
Con la ejecución del plan de pruebas se busca asegurar que el programa de trabajo definido sea
realizado con el enfoque y la calidad establecida en la fase de planeación.
Los asuntos relacionados con la ejecución de las auditorías serán resueltos en primera instancia con el
dueño del proceso y los Gerentes del área. En segunda instancia con la Dirección correspondiente y/o
Director General.
Auditoría InternaAuditoría Corporativa debe entre otras actividades:
a. Revisar que los mecanismos de control implementados conlleven a la adecuada salvaguarda de

los activos de INVEX Grupo Infraestructura.
b. Validar los mecanismos para preservar la integridad, confidencialidad y disponibilidad de la
información, que eviten su alteración y cumplan con los objetivos para los cuales fueron
implementados y diseñados.
c. Cerciorarse de la calidad, suficiencia y oportunidad de la información financiera, así como que
sea confiable para la adecuada toma de decisiones.
d. Debe valorar la eficacia de los procedimientos de control interno para prevenir y detectar actos u
operaciones con recursos, derechos o bienes, que procedan o representen el producto de un
probable delito.
1.1.1.1[1.2.2.1] Comunicación de Observaciones:
El personal auditado, debe entregar a Auditoría InternaAuditoría Corporativa los planes de acción,
derivado de las observaciones realizadas al proceso.
Auditoría InternaAuditoría Corporativa debe dar un seguimiento oportuno a las observaciones emitidas
tanto de auditorías internas como de auditorías externas. Asimismo, debe determinar el grado de
riesgo de las observaciones, por el grado de impacto y probabilidad de ocurrencia: el impacto, mide la
severidad de los efectos, cuando el riesgo se materialice. La probabilidad de ocurrencia es la
posibilidad de que un evento suceda.
A continuación, se muestra la estrategia o la acción de cada observación, en función del cuadrante en

el que se ubique y consecuentemente el nivel de riesgo asignado:
Nivel de
Casilla Estrategia / Acción
Riesgo
Deben ser atendidas de inmediato con acciones
A Alto
correctivas
Deben establecerse acciones de atención periódicas
B Medio
asociadas a una estrategia
C Requiere acciones planeadas y seguimiento Moderado
D Requiere monitoreo Bajo
Riesgos de Atención Inmediata

Los riesgos clasificados en la casilla “A” son considerados relevantes y de alta prioridad. Son riesgos
críticos que amenazan el logro de las metas y objetivos Institucionales y por lo tanto pueden ser
significativos por su grado de impacto y alta probabilidad de ocurrencia.
Riesgos de Atención Periódica

Los riesgos que se ubican en las casillas “B” son significativos, sin embargo, su grado de impacto es
menor que los correspondientes a la casilla “A” anterior. Para asegurar que estos riesgos mantengan
una probabilidad relativamente baja y sean administrados adecuadamente, los controles deben ser
evaluados sobre la base de intervalos regulares de tiempo. Estos riesgos, juntamente con los de
atención inmediata son relevantes para el logro de las metas y objetivos de IGI.

Riesgos de Seguimiento
Los riesgos ubicados en las casillas “C” son menos significativos, pero tienen un alto grado de
impacto. Los riesgos deben ser revisados una o dos veces al año, para asegurarse de que están
siendo administrados correctamente.
Riesgos Controlados
Los riesgos ubicados en la casilla “D”, son poco probables y de bajo impacto, requieren de un
seguimiento y control interno mínimo, a menos que una Evaluación de riesgos posterior muestre un
cambio sustancial, que origine que sean clasificados en una casilla distinta que implique un mayor
impacto y probabilidad de ocurrencia.
Auditoría InternaAuditoría Corporativa, debe monitorear el cumplimiento al plan de acción, ya sea de

manera trimestral o en la fecha esperada de cumplimiento que fue proporcionada por el personal
auditado.
En el caso de que el área no atienda la observación en el plazo establecido en el plan de acción, el

cumplimiento podrá reprogramarse por única ocasión, en el supuesto de que el área solicite una
segunda reprogramación, debe contar con el visto bueno del Director del Área y será reportada en este
sentido al Comité de Auditoría.
1.1.1.2[1.2.2.2] Documentación soporte de las Auditorías:
Auditoría InternaAuditoría Corporativa debe, elaborar y resguardar los papeles de trabajo dentro
del sistema Auto-Audit por su contenido y clasificarlos en las siguientes categorías:
a. General. - Documentación relativa al inicio de la auditoría:

1. Presentación de inicio de auditoría: Debe mostrar de forma general el objetivo, el alcance,
detallando el periodo, subprocesos y metodología sujetos a revisión, el calendario que
muestre la fecha de inicio y conclusión de la auditoría.
2. Marco Teórico: Debe mostrar Estructura Corporativa, Definiciones, Marco Normativo y
análisis de los riesgos internos y externos a los que se encuentra expuesta el área o
proceso a ser auditado.
3. Programa de Trabajo: Debe mostrar los procedimientos de auditoría, los cuales deben
contemplar el diseño de las Pruebas de Control, Procedimientos Analíticos y Pruebas de
Detalle (sustantivas, de cumplimiento y de control interno), la referencia con los papeles
de trabajo, las fechas tanto de inicio y término de cada uno de los procedimientos de
revisión.
b. Papeles de trabajo. - Son documentos con análisis que respaldan las pruebas realizadas,
incluyendo documentos digitalizados, así como aquellos que se encuentran respaldados en
un archivo físico como:
1. Marcas: Son signos convencionales que el Auditor utiliza para efectuar notas,
observaciones y explicaciones, las cuales: deben escribirse con color diferente al texto
del papel de trabajo, deben ser claras, sencillas y perfectamente distinguibles, las
explicaciones deben estar en la misma cédula donde aparece la marca.
2. Desarrollo de los procedimientos de auditoría (trabajo de campo ): Consiste en la
aplicación de procedimientos de revisión para obtención de evidencia efectiva y
competente. Comprende el uso de técnicas o métodos prácticos de investigación
empleados por el Auditor con el objeto de emitir un juicio profesional respecto de su
revisión.
Los procedimientos de auditoría se agrupan en Pruebas de Controles que consisten en la

combinación de técnicas como la indagación, observación, inspección física,
confirmación, cálculo y revisión de documentos y procedimientos sustantivos, mismos
que son aplicables dependiendo del enfoque de revisión a realizar.
El trabajo de Auditoría InternaAuditoría Corporativa debe documentarse en los “papeles

de trabajo” comprendiendo la totalidad de los documentos preparados o revisados por el
Auditor los cuales son cédulas y documentos para dejar constancia o evidencia.

A continuación, se presentan los aspectos más significativos de la integración:
 Uso de Papeles de Trabajo:

Información obtenida en el transcurso de la revisión.
En su caso, evaluación de la efectividad del control interno, así como la identificación y
selección de los procesos críticos.
La evaluación o desarrollo de los hallazgos.
 Utilidad de los Papeles de Trabajo
Sustentar y demostrar competentemente los hallazgos de auditoría, las conclusiones y
recomendaciones para mejorar la efectividad o eficacia.
Suministrar información suficiente para la preparación del informe de auditoría.
Demostrar la solidez y calidad profesional del trabajo de auditoría.
Permitir la supervisión del trabajo de auditoría.
Guiar la conducción de auditorías subsiguientes.
c. Normas de preparación de los Papeles de Trabajo

 Deben tener un encabezado que indique el proceso o área bajo examen o evaluación,
la fecha de la evaluación y el título de su contenido.
 Deben ser redactados con claridad, objetividad y adecuada gramática.
 Deben ser elaborados con limpieza y matemáticamente exactos.
 Deben incluir las evidencias que sustentan las afirmaciones del Auditor.
 Deben contener información que demuestre la elaboración de pruebas y procedimientos
realizados.
 Deben estar totalmente terminados, referenciados y cruzados de tal forma que su
revisión no requiera de la presencia de quién los elaboró.
d. Muestreo de Auditoría. - Dependiendo del enfoque de revisión, el Auditor puede realizar la

selección de partidas en función del monto que representan sobre un saldo total, con la
finalidad de revisar un porcentaje que a su juicio represente evidencia suficiente para dar
validez y razonabilidad a dicha cifra.
e. Archivo Permanente. Documentos de uso continuo o necesario en auditorías posteriores,

que por su naturaleza no varían de un periodo a otro, como son: disposiciones legales,
políticas, procedimientos.
f. Matriz de Riesgos y Controles. - Se debe, en todo momento, identificar aquellos controles

que realizan las áreas y que no se encuentran formalizados y documentados en una matriz;
así como el riesgo que mitigan y la efectividad de los mismos.
g. Informes. - Deben contener nombre de la revisión, fecha de término de la revisión,

responsable del área, proceso o actividad auditado, antecedentes, objetivo de la revisión,
alcance y período de la revisión, seguimiento a observaciones, calificación y conclusión
general, nombre de la persona que elabora el informe y Nombre de la persona que autoriza
el Informe, y observaciones y planes de acción adjuntas.
Auditoría InternaAuditoría Corporativa debe realizar informes como resultado de la revisión

realizada al proceso y determina una calificación general en función de lo siguiente:
Satisfactorio (+): Se otorga cuando derivado de la aplicación de pruebas de auditoría se

concluye que el esquema de Control interno es eficaz, eficiente y mitiga adecuadamente
los riesgos inherentes al proceso, no se identificaron desvíos al cumplimiento de la
normatividad aplicable, los sistemas involucrados en la operación cumplen con los
estándares requeridos y contribuyen al logro de los objetivos del negocio.
Satisfactorio (-): Se asigna cuando las pruebas de auditoría arrojaron incidencias poco
relevantes en la validación de operaciones y, en la cual, se observa que el área ha
corregido oportunamente las observaciones resultantes, así como una verificación de las
optimizaciones que se hayan realizado al proceso de revisión, y del resultado de la
validación de los controles establecidos, que pudieran ser susceptibles de mejora y que
permiten mitigar razonablemente los riesgos inherentes del proceso auditado.
Mejorable (+): Se otorga cuando se detectaron incumplimientos tanto en normativas
internas como externas, asimismo, en las validaciones de los controles se detectaron poca
efectividad en su proceso, asimismo, existen deficiencias de control y pocas mejoras de los
procesos.
Mejorable (-): Se otorga en cuyas pruebas desarrolladas los resultaron fueron poco
satisfactorios, se muestran incumplimientos a la normativa externa, y se carece de una
normativa interna, asimismo, se carece de una identificación de controles efectivos y su
cumplimiento para mitigar los riesgos, adicional a esto, la información presenta
inconsistencias y errores por falta de procesos automáticos, o que se realizan
manualmente.
No satisfactorio: Se asigna cuando se hayan detectado errores en la generación, entrega
y presentación de la información revisada, asimismo, cuando se carezca de un marco
normativo que regule las actividades, así como la carencia de supervisión de la misma y de
validadores.
1.2[1.3] Supervisión
El Gerente de Auditoría Corporativa y/o el Director de Contraloría Corporativa son los responsables de
asegurar que se realice una correcta supervisión durante el desarrollo de la auditoría. El proceso de
supervisión inicia desde la planeación y continúa a través de las etapas de la auditoría (ejecución,
conclusión y cierre, y monitoreo), la supervisión incluye:
 Asegurar que el equipo de auditoría posean los conocimientos y las competencias suficientes para
el desarrollo de la auditoría.
 Proveer instrucciones claras y precisas durante la etapa de planeación y aprobar el programa de
trabajo.
 Verificar que el programa de trabajo se está ejecutando de manera adecuada y que los cambios
que se efectúen a éste se encuentren justificados y autorizados.
 Revisar si los papeles de trabajo proveen suficiente evidencia de las observaciones identificadas,
así como de las conclusiones y recomendaciones realizadas.
 Verificar que la comunicación durante el desarrollo de la auditoría es adecuada, oportuna, clara y
constructiva.
 Asegurar que los objetivos de la auditoría son alcanzados.
 Proveer oportunidades para el desarrollo de habilidades y de conocimientos a los auditores de
menor experiencia.
El grado de supervisión requerida dependerá del grado de experiencia del equipo de auditoría, y de la
complejidad del proyecto.
En la siguiente matriz se muestran las responsabilidades de acuerdo con la actividad y posición en el

equipo de trabajo:
E = Ejecutor
R= Revisor a aprobador de 1er nivel
A= Aprobador final
Director Direcció Comité

Actividades Gerente Contraloría n de
Corporativa General Auditoría
Valuación de riesgos empresariales cuando la entidad no
E RA
cuenta con ella
Plan Anual de Auditoría E RA RA A
Cambios al Plan Anual de Auditoría RA A A
Administración de presupuesto de horas del proyecto E
Monitoreo al presupuesto de horas E
Asignación de recursos humanos E

Solicitud de recursos técnicos E RA

Presupuesto de viajes E R A
Contratación de terceros E E RA
Monitoreo de trabajo de terceros E A
Incorporación de trabajo de terceros E A
Asignación de proyectos E E
Planeación del proyecto E A
Memorándum de planeación E RA
Liberar arranque de proyecto A
Definir indicadores de proyecto E RA
Definir alcance del proyecto E RA
Programa de trabajo E RA
Carta Presentación de inicio de auditoría E R A
Carta de inicio de auditoría E RA
Memorándum de conocimiento de la entidad E A
Carga de pruebas al Portal de Auditoría E A
Requerimiento de información E A
Coordinar junta de inicio y documentarla E A
Ejecución del programa de trabajo ER A
Medición del impacto de observaciones E R A
Junta de cierre E
Informe previo E R A
Informe final E R A
Programar seguimientos E E
Director Comité
Dirección
Actividades Gerente Contraloría de
Corporativa General
Auditoría
Ejecutar seguimientos ER A A
Informe de seguimientos ER A A
Supervisión E A
Consideraciones de fraude ER A A
Auditoría basada en riesgos ER A
Diseño de pruebas de control ER A A
Auditoría basada en riesgos de Tecnología ER A
Diseño de los programas de revisión de Controles ERA A
Generales de TI. A
Diseño de otros programas de aseguramiento ER A A
Diseño de programas de asesoría ER A A
Auditoría Fiscal ER RA A
Diseño de los programas de revisión ERA A A
Auditoría Procs. Previamente Convenidos ER RA A
Diseño de los programas de revisión ERA A A
Auditoría de Información Financiera ER RA A
Materialidad E RA A
Diseño de pruebas sustantivas E RA A
Auditoría Legal y de Cumplimiento de Índole
Corporativo ER RA A
Diseño de estrategia ER ERA A
1.3 Informes
1.3.1 Dirección General y Comité de Auditoría
Auditoría InternaAuditoría Corporativa debe informa de forma mensual los avances de las auditorías
practicadas en función al programa de trabajo anual.

Asimismo, debe informar de forma trimestral al Comité de Auditoría sobre las labores desempeñadas,
resultados obtenidos de las revisiones practicadas, seguimientos y reprogramaciones de planes de
acción derivadas de auditorías internas y externas; a través de la herramienta Gobertia.
El Comité de Auditoria aprueba o no, el informe trimestral, mismo que será asentado acta de la sesión
efectuada.
[1.4] Otras actividades de Auditoría InternaAuditoría Corporativa
Dentro de otras actividades que realiza el área de Auditoría InternaAuditoría Corporativa es evaluar la
confiabilidad, integridad (Admón. y Finanzas), razonabilidad de la calidad, suficiencia y oportunidad de la
información financiera en apego a las Normas Internacionales de Información Financiera (IFRS), así como
que sea confiable para la adecuada toma de decisiones.
El proceso de Auditoría InternaAuditoría Corporativa se resume en el anexo 1 “Resumen del Manual de

Auditoría InternaAuditoría Corporativa”
6. Documentos Aplicables / Marco Normativo
Reglamento del Comité de Auditoría InternaAuditoría Corporativa [IGI-DGE-PO-01]

Auditoría InternaAuditoría Corporativa [IGI-DGE-PR-01]
Sistema de Gestión de Control Interno [IGI-SCI-PR-02]
7. Control de Cambios
Fecha de Número de
Motivo del Cambio
Aplicación Revisión
30/06/2019 00 No aplica revisión 00.
8. Anexos
Anexo 1. Resumen del Manual de Auditoría InternaAuditoría Corporativa.
Auditoría InternaAuditoría Corporativa

Fecha de Aplicación:
Número de Revisión: 00 Clave: IGI-SCI-MA-01
30/06/19
Contribuir al reforzamiento y mejora de la efectividad del gobierno corporativo y de sus controles internos,
así como de las herramientas con las que se debe contar apoyándose en la adecuada aplicación de las
metodologías y procedimientos que permitan evaluar el diseño y la efectividad de los controles en los
diferentes procesos; con la finalidad de prevenir o detectar errores, riesgos, etc. Así como realizar la
Objetivo planeación y programación de trabajo de campo, siempre diseñado a la medida de la plataforma, proyecto
de inversión o proceso auditado y se deberán obtener evidencias suficientes y competentes sobre los
hallazgos para poder emitir las conclusiones que sustenten la calificación de auditoría, todo acorde con el
programa anual de trabajo previamente aprobado por el Comité de Auditoría o a solicitud de la Dirección
General.

Alcance: Aplica para INVEX Grupo Infraestructura y sus filiales (IGI).

Comité de Auditoría: Es el Grupo de Miembros Independientes responsables entre otras actividades, de
la gestión y administración de las funciones del área de Auditoría Corporativa Interna (CAC).
Auto Audit: Sistema de gestión del área de auditoria interna, que permite administrar el programa de
Definiciones: trabajo anual, la asignación y medición de recursos, evaluar los riesgos a nivel de procesos, dar
seguimiento de hallazgos, resguardar la evidencia documental de los papeles de trabajo de las auditorías.
Gobertia: Solución tecnológica para el funcionamiento eficiente, y resguardo de información de los
órganos de gobierno.
Responsable Lineamiento
Mantener actualizado el presente lineamiento, así como la metodología aplicable, además de vigilar que
se realicen en tiempo y forma las modificaciones y/o actualizaciones que correspondan.
Elaborar y presentar para su aprobación al Comité de Auditoría la Programación Anual de Sesiones (PAS)
del CA y Programa Anual de Trabajo (PAT).
Evaluar el diseño y efectividad de los controles con base al marco integral del Modelo COSO establecidos
en el Sistema de Gestión de Control Interno IGI-DGE-MA-11.
Exponer al personal clave o responsable del área, el proceso sujeto a revisión mediante una reunión de
trabajo al inicio de auditoría definiendo objetivos, alcance , fechas compromiso de entrega de la
informaicón, así como los requerimientos de información para revisión.
Revisar los procesos, la efectividad y el diseño de los controles de los procesos a auditar conforme al
Código de Ética profesional emitido por el Instituto de Auditores Internos (IIA), las Normas de Auditoría
para atestiguar, revisión y otros servicios relacionados, emitidas por el Instituto Mexicano de Contadores
Gerente de
Públicos, Normas Internacionales para el ejercicio profesional de la Auditoría Interna emitidas por The
Auditoría
Institute of Internal Auditors (las normas).
Evaluar que los sistemas informáticos, cuenten con mecanismos para preservar la integridad,
confidencialidad y disponibilidad de la información, que eviten su alteración y cumplan con los objetivos
para los cuales fueron implementados o diseñados.
Comunicar al personal clave o responsable del área, los hallazgos derivados de las pruebas realizadas.
Elaborar los informes que muestra el resultado de las revisiones ejecutadas.
Realizar seguimiento oportuno a los hallazgos y recomendaciones emitidas por auditores externos y
consultores que permitan identificar los planes de acción señalados por las diversas áreas y conocer su
grado de avance, en su caso, conocer el estatus de su implementación.
Evaluar la confiabilidad, integridad (Admón y Finanzas), razonabilidad de la calidad, suficiencia y
oportunidad de la información financiera bajo Normas Internacionales de Información Financiera (IFRS),
así como que sea confiable para la adecuada toma de decisiones.
Informar a la Dirección General como al CA sobre la gestión (labores desempeñadas).
Proceso Sistema SLA

Gerente de 1. Elaborar y presentar para su aprobación al CA la Programación Anual de Anual
Auditoría Sesiones (PAS), así como la información a presentar y el PAT. Gobertia
2. Aprobar la PAS, la información a presentar y el PAT, mismo que debe
CA Inmediato
quedar asentado en acta de la sesión correspondiente del CA.
3. Ejecutar revisiones de acuerdo al PAT; así como realizar revisiones
especiales fuera del PAT como resultado de incidencias en la operación o a Mensual
solicitud del CA o de la Dirección General (DG).
Gerente -
4. Establecer alcance, objetivos y requerimientos de la revisión y exponer al Auto-Audit
Especialista
Personal clave o responsable del área y/o proceso sujeto a revisión, la 3 días
de Auditoría
presentación de inicio de auditoría.
5. Documentar en AutoAudit cada uno de los papeles de trabajo que sustenten
Por revisión
los avances y desviaciones de cada revisión en particular.
Personal clave 6. Atender la reunión de inicio de auditoria, entrevistas del proceso sujeto a Outlook
2 días
o responsable revisión
del área 7. Atender los requerimientos de información de acuerdo a la siguiente 2 a 5 días
clasificación:
inmediata - 2 días, por construir–5 días y tecnológica (desarrollada y por

desarrollar), de 2 a 5 días, respectivamente

8. Revisar, verificar y evaluar la documentación proporcionada por el área
auditada; ejecutar y aplicar procedimientos de auditoría de acuerdo a las 3 días
normas.
Gerente -
9. Validar la efectividad de los controles descritos en la matriz de riesgos;
Especialista
identificar, documentar e incluir en dicha matriz aquellos controles que Por revisión
de Auditoría
realizan las áreas y que no se encuentran formalizados.
10. Elaborar, exponer y enviar al área auditada las observaciones, conclusiones
5 días
y recomendaciones derivada de los resultados de la revisión.
Personal clave 11. Recibir, atender las observaciones, recomendaciones y establecer planes de
o responsable acción 3 días
del área
12. Elaborar y entregar al área auditada informe indicando la calificación
correspondiente:
Satisfactorio (+), Satisfactorio (-), Mejorable (+), Mejorable (-) y No
5 días
Satisfactorio; en general al apego a normas tanto internas como externas. Auto-Audit
Gerente –
Se adjuntan las observaciones, conclusiones y recomendaciones en dicho
Especialista
informe.
de Auditoría
13. Monitorear el cumplimiento al plan de acción, ya sea de manera trimestral o
en la fecha esperada de cumplimiento, en caso de no ser atendidas se Trimestral
reprograman por única ocasión debiendo documentar el grado de avance, Evento
para la 2da ocasión debe informar al CA como riesgo alto.
Personal clave 14. Atender los planes de acción en fechas establecidas en sistema Auto Audit;
o responsable informar seguimientos al Gerente de Auditoría con copia al Contralor Interno Trimestral
del área sobre reprogramaciones.
15. Presentar resumen al CA y al DG, sobre las labores desempeñadas,
resultados obtenidos de las revisiones practicadas, seguimientos y
Mensual
reprogramaciones de planes de acción derivadas de auditorías internas y
Gerente de
externas.
Auditoría Gobertia
16. Informar al CA y al DG, sobre las labores desempeñadas, resultados
Presencial
obtenidos de las revisiones practicadas, seguimientos y reprogramaciones Trimestral
de planes de acción derivadas de auditorías internas y externas.
Dirección [17.] Aprueba o no, el informe presentado por el Gerente de Auditoría Mensual/
General InternaAuditoría Corporativa Trimestral

IGI-SCI-MA-01 00 Manual de Auditoría Interna

Cargado por

Copyright:

Formatos disponibles

IGI-SCI-MA-01 00 Manual de Auditoría Interna

Cargado por

Información del documento

Título original

Derechos de autor

Formatos disponibles

Compartir este documento

Compartir o incrustar documentos

Opciones para compartir

¿Le pareció útil este documento?

¿Este contenido es inapropiado?

Copyright:

Formatos disponibles

IGI-SCI-MA-01 00 Manual de Auditoría Interna

Cargado por

Copyright:

Formatos disponibles

Manual de Auditoría InternaAuditoría Corporativa

No. de versión: Fecha de aplicación: Clave:

Mónica Sánchez García Daniel Portela González

Adrián Rivera Coello Jorge Zapata Alvarado

Clave: IGI-SCI-MA-01 Fecha de Aplicación: 30/06/19 Número de Revisión: 00 Página 1 de 18

Auditoría InternaAuditoría Corporativa:

El presente Manual de Auditoría InternaAuditoría Corporativa establece el proceder de INVEX Grupo

Clave: IGI-SCI-MA-01 Fecha de Aplicación: 30/06/19 Número de Revisión: 00 Página 3 de 18

[1.1] Funcionamiento del Auditoría InternaAuditoría Corporativa

[1.2] Gestión de Auditoria InternaCorporativa

[1.2.1] Planeación del Programa de Trabajo de Auditoría InternaAuditoría Corporativa

[1.4] Otras actividades de Auditoría InternaAuditoría Corporativa

Clave: IGI-SCI-MA-01 Fecha de Aplicación: 30/06/19 Número de Revisión: 00 Página 4 de 18

[1.1] Funcionamiento Estructura de Reporte de Auditoría InternaAuditoría Corporativa

1.1[1.2] Gestión de Auditoria Interna

JUICIO PROFESIONAL Y PRINCIPIOS PARA AUDITORES

¿Qué es el juicio profesional?

Clave: IGI-SCI-MA-01 Fecha de Aplicación: 30/06/19 Número de Revisión: 00 Página 5 de 18

Principios para la ejecución de las auditorías en INVEX Grupo Infraestructura

Clave: IGI-SCI-MA-01 Fecha de Aplicación: 30/06/19 Número de Revisión: 00 Página 6 de 18

[1.2.1] Planeación del Programa de Trabajo de Auditoría InternaAuditoría Corporativa

• Los objetivos estratégicos de cada negocio (entidad) o proyecto.

Analizar o evaluar (riesgos) y probar (controles):

DEFINICIÓN Y ENFOQUE DE AUDITORÍA

Clave: IGI-SCI-MA-01 Fecha de Aplicación: 30/06/19 Número de Revisión: 00 Página 7 de 18

FASE DE LA METODOLOGIA TIPO DE AUDITORÍA

Aprobación del Plan Anual de Auditoría Corporativa

Clave: IGI-SCI-MA-01 Fecha de Aplicación: 30/06/19 Número de Revisión: 00 Página 8 de 18

Auditoría InternaAuditoría Corporativa debe informar periódicamente al Comité de Auditoría sobre el

1.2.1.1.1Gestión Tipos de Auditoria Internaaplicables

a. Auditoría Financiera. - El objetivo es dar razonabilidad y determinar si la información financiera

b. Auditoría de Cumplimiento. - Consiste en revisar y evaluar los métodos, sistemas y

c. Auditoría Operacional. - Consiste en revisar parcial o totalmente las actividades y los

d. Auditoría de Sistemas. - Radica en identificar, revisar y evaluar las políticas y procedimientos

e. Auditoria Legal. - Consisten en la revisión de toda la documentación relacionada al área

f. Auditoria de Gestión. - Consisten en la revisión que se realiza a una organización con el

Administración y Evaluación de Riesgos

A) Cuando existe un proceso formal de evaluación de riesgos.

1. Determinar el universo auditable de procesos (mapeo basado en técnicas de análisis de procesos).

Clave: IGI-SCI-MA-01 Fecha de Aplicación: 30/06/19 Número de Revisión: 00 Página 9 de 18

evaluaciones de riesgo han cambiado, en cuyo caso deberá hacerse la modificación

B) Cuando no existe un proceso formal de evaluación de riesgos

1.2.1.2 Marcos de Referencia

Para el desarrollo de las auditorías programadas se debe considerar:

a. Código de Ética emitido por el Instituto de Auditores Internos (IIA).

En caso de no tener respuesta en el plazo establecido, se enviará un recordatorio con copia a su

Clave: IGI-SCI-MA-01 Fecha de Aplicación: 30/06/19 Número de Revisión: 00 Página 10 de 18

Auditoría InternaAuditoría Corporativa debe entre otras actividades:

a. Revisar que los mecanismos de control implementados conlleven a la adecuada salvaguarda de

1.1.1.1[1.2.2.1] Comunicación de Observaciones:

A continuación, se muestra la estrategia o la acción de cada observación, en función del cuadrante en

Riesgos de Atención Inmediata

Riesgos de Atención Periódica

Clave: IGI-SCI-MA-01 Fecha de Aplicación: 30/06/19 Número de Revisión: 00 Página 11 de 18

Auditoría InternaAuditoría Corporativa, debe monitorear el cumplimiento al plan de acción, ya sea de

En el caso de que el área no atienda la observación en el plazo establecido en el plan de acción, el

1.1.1.2[1.2.2.2] Documentación soporte de las Auditorías:

a. General. - Documentación relativa al inicio de la auditoría:

Los procedimientos de auditoría se agrupan en Pruebas de Controles que consisten en la