FUNDAMENTOS DE LA AUDITORIA INTERNA (PARTE - I)

I. Base de la Auditoría Interna (15 %)

1. Interpretar la misión de la auditoría interna, la definición de auditoría interna y los principios fundamentales de la práctica profesional de la auditoría interna del IIA, y el propósito, la autoridad y la responsabilidad de la actividad de auditoría interna
2. Explicar los requisitos de un estatuto de auditoría interna (componentes necesarios, aprobación del consejo, comunicación del estatuto, etc.)
3. Interpretar la diferencia entre los servicios de aseguramiento y consultoría ofrecidos por la actividad de auditoría interna

II. Independencia y Objetividad (15 %)

1. Interpretar la misión de la auditoría interna, la definición de auditoría interna y los principios fundamentales de la práctica profesional de la auditoría interna del IIA, y el propósito, la autoridad y la responsabilidad de la actividad de auditoría interna
2. Identificar si existen impedimentos para la independencia de la actividad de auditoría interna.
3. Evaluar y mantener la objetividad individual del auditor interno, incluyendo determinar si existe algún impedimento.
4. Demostrar conformidad con el Código Ético del IIA

III. Pericia y cuidado profesional debido (18 %)

1. Reconocer el conocimiento, las habilidades y las aptitudes necesarias (desarrolladas o adquiridas) para cumplir con las responsabilidades de la actividad de auditoría interna.
2. Demostrar el conocimiento y las aptitudes que un auditor interno debe poseer para cumplir con sus responsabilidades individuales, incluyendo habilidades técnicas y aptitudes sociales (habilidades de comunicación, pensamiento crítico, persuasión/negociación y colaboración, etc.)
3. Demostrar el cuidado profesional debido
4. Demostrar la aptitud del auditor interno individual a través del desarrollo profesional continuo

IV. Programa de aseguramiento y mejora de la calidad (7 %)

1. Describir los elementos necesarios del programa de aseguramiento y mejora de la calidad (evaluaciones internas, evaluaciones externas, etc.)
2. Describir el requisito de informar de los resultados del programa de aseguramiento y mejora de la calidad al consejo u otro órgano de gobierno
3. Identificar la divulgación adecuada de la conformidad frente a la no conformidad con las Normas Internacionales para el Ejercicio Profesional de la Auditoría Interna del IIA.

V. Gobierno, gestión de riesgos y control (35 %)

1. Describir el concepto de gobierno organizacional
2. Reconocer el impacto de la cultura organizacional en el entorno de control general y los riesgos y controles individuales del trabajo
3. Reconocer e interpretar la ética de la organización y las cuestiones, las presuntas infracciones y las disposiciones relacionadas con el cumplimiento
4. Describir la Responsabilidad Social Corporativa
5. Interpretar los conceptos fundamentales de riesgo y el proceso de gestión de riesgos
6. Describir los marcos de gestión de riesgos globalmente aceptados que sean adecuados para la organización (COSO - ERM, ISO 31000, etc.)
7. Examinar la efectividad de la gestión de riesgos dentro de los procesos y las funciones
8. Reconocer la idoneidad del papel de la actividad de auditoría interna en el proceso de gestión de riesgos de la organización
9. Interpretar los conceptos de control interno y los tipos de controles
10. Aplicar los marcos de control interno globalmente aceptados que sean adecuados para la organización (COSO, etc.)
11. Examinar la efectividad y eficiencia de los controles internos

VI. Riesgo de fraude (10 %)

1. Interpretar el riesgo de fraude y los tipos de fraude y determinar si el riesgo de fraude requiere especial consideración a la hora de llevar a cabo un trabajo
2. Evaluar el potencial de ocurrencia de fraude (señales de alarma, etc.) y cómo la organización detecta y gestiona el riesgo de fraude
3. Recomendar controles para prevenir y detectar fraude y formación para mejorar la concienciación del fraude en la organización
4. Reconocer técnicas y funciones de la auditoría interna relacionados con la auditoría forense (entrevistas, investigación, pruebas, etc.)

PRÁCTICA DE LA AUDITORIA INTERNA (PARTE - II)

I. Gestión de la actividad de auditoría interna (20 %)

1. Operaciones de auditoría interna
1. Describir políticas y procedimientos para la planificación, organización, dirección y monitorización de las operaciones de auditoría interna.
2. Interpretar las actividades administrativas (presupuestación, obtención de recursos, contratación, dotación de personal, etc.) de la actividad de auditoría interna.

2. Establecer un plan de auditoría interna basado en el riesgo
1. Identificar las fuentes de posibles trabajos (universo de la auditoría, requisitos del ciclo de auditoría, solicitudes de gestión, mandatos normativos, tendencias del mercado y la industria relevantes, asuntos emergentes, etc.)
2. Identificar un marco de gestión de riesgos para evaluar los riesgos y priorizar los trabajos de auditoría basados en los resultados de una evaluación de riesgos
3. Interpretar los tipos de trabajos de aseguramiento (evaluaciones de riesgo y control, auditorías de terceras partes y auditorías de cumplimiento de contrato, seguridad y privacidad, desempeño y calidad, indicadores clave de rendimiento, auditorías operacionales, auditorías de cumplimiento financiero y regulatorio)
4. Interpretar los tipos de trabajos de consultoría (formación, diseño de sistema, desarrollo de sistema, diligencia debida, privacidad, evaluación comparativa, evaluación del control interno, mapeo de procesos, etc.) diseñados para ofrecer asesoría y conocimiento.
5. Describir la coordinación de la labor de la auditoría interna con el auditor externo, los órganos de supervisión regulatoria y otras funciones de aseguramiento internas, y la confianza potencial en otros proveedores de aseguramiento

3. Comunicación e información a la Alta Dirección y el Consejo
1. Reconocer que el director ejecutivo de auditoría comunica el plan de auditoría anual a la alta dirección y el consejo y solicita la aprobación del consejo
2. Identificar exposiciones de riesgo significativas y cuestiones de control y gobierno para que el director ejecutivo de auditoría informe al consejo
3. Reconocer que el director ejecutivo de auditoría informa sobre la efectividad general de los procesos de control interno y gestión de riesgos de la organización a la alta dirección y el consejo.
4. Reconocer los indicadores clave de rendimiento de la auditoría interna que el director ejecutivo de auditoría comunica a la alta dirección y el consejo periódicamente

II. Planificación del trabajo (20 %)

1. Planificación del trabajo
1. Establecer los objetivos del trabajo, los criterios de evaluación y el alcance del trabajo
2. Planificar el trabajo para garantizar la identificación de riesgos y controles clave
3. Completar una evaluación de riesgos detallada de cada área de auditoría, incluyendo la priorización y evaluación de los factores de riesgo y control
4. Determinar los procedimientos del trabajo y preparar el programa de trabajo
5. Determinar el nivel del personal y los recursos necesarios para el trabajo

III. Ejecución del trabajo (40 %)

1. Recopilación de información
1. Recopilar y examinar la información relevante (revisar informes de auditoría anteriores, hacer recorridos de inspección y entrevistas, realizar observaciones, etc.) como parte del estudio preliminar del área del trabajo
2. Desarrollar listas de verificación y cuestionarios de riesgo y control como parte de un estudio preliminar del área de trabajo
3. Aplicar el muestreo adecuado (no estadístico, razonado, de descubrimiento, etc.) y técnicas de análisis estadístico

2. Análisis y evaluación
1. Usar herramientas y técnicas informáticas de auditoría (recolección y extracción de datos, monitorización continua, documentos de trabajo automatizados, módulos de auditoría integrados, etc.)
2. Evaluar la relevancia, la suficiencia y la fiabilidad de las fuentes potenciales de evidencia
3. Aplicar los enfoques analíticos y las técnicas de mapeo de procesos adecuados (identificación de procesos, análisis del flujo de trabajo, generación y análisis de mapas de procesos, diagramas de espagueti, matrices RACI, etc.)
4. Determinar y aplicar técnicas analíticas de revisión (estimación de ratio, análisis de las variaciones, comparación presupuesto-realidad, análisis de tendencias, otras pruebas de razonabilidad, evaluación comparativa, etc.)
5. Preparar documentos de trabajo y documentación de información relevante para apoyar las conclusiones y los resultados del trabajo
6. Resumir y desarrollar las conclusiones del trabajo, incluyendo la evaluación de riesgos y controles

3. Supervisión del trabajo
1. Identificar las actividades clave en la supervisión de trabajos (coordinar la asignación del trabajo, revisar documentos de trabajo, evaluar el desempeño de los auditores, etc.)

IV. Comunicación de los resultados del trabajo y progreso de la monitorización (20 %)

1. Comunicación de los resultados del trabajo y la aceptación del riesgo
1. Organizar la comunicación preliminar con los clientes del trabajo
2. Demostrar la calidad de la comunicación (precisa, objetiva, clara, concisa, constructiva, completa y oportuna) y los elementos (objetivos, alcance, conclusiones, recomendaciones y plan de acción)
3. Preparar información provisional sobre el progreso del trabajo
4. Formular recomendaciones para mejorar y proteger el valor organizacional
5. Describir el proceso de comunicación e información del trabajo de auditoría, incluyendo la celebración de la conferencia de salida, el desarrollo del informe de auditoría (borrador, revisión, aprobación y distribución) y la obtención de la respuesta de la dirección
6. Describir la responsabilidad del director ejecutivo de auditoría en la evaluación del riesgo residual
7. Describir el proceso de comunicación de la aceptación del riesgo (cuando la dirección ha aceptado un nivel de riesgo que puede ser inaceptable para la organización)

2. Progreso de la monitorización
1. Evaluar los resultados del trabajo, incluyendo el plan de acción de la dirección
2. Gestionar la monitorización y el seguimiento de la disposición de los resultados del trabajo de auditoría comunicados a la dirección y el consejo

CONOCIMIENTO EMPRESARIAL PARA LA AUDITORÍA INTERNA (PARTE - III)

I. Perspicacia de negocio (35 %)

1. Objetivos organizacionales, comportamiento y desempeño
1. Describir el proceso de planificación estratégica y las actividades clave (establecimiento de objetivos, consideraciones sobre la globalización y la competencia, alineación con la misión y los valores de la organización, etc.)
2. Examinar las medidas comunes de desempeño (financieras, operacionales, cualitativas frente a cuantitativas, de productividad, calidad, eficiencia, efectividad, etc.)
3. Explicar el comportamiento organizacional (personas en organizaciones, grupos, y cómo se comportan las organizaciones, etc.) y diferentes técnicas de gestión del desempeño (rasgos, política organizacional, motivación, diseño del trabajo, recompensas, horarios de trabajo, etc.)
4. Describir la efectividad de la dirección para liderar, orientar, guiar a las personas, crear compromiso organizacional y demostrar capacidad emprendedora

2. Estructura organizacional y procesos de
1. Evaluar las implicaciones de riesgo y control de diferentes estructuras de configuración organizacional (centralizada frente a descentralizada, horizontal frente a tradicional, etc.)
2. Examinar las implicaciones de riesgo y control de procesos de negocio comunes (recursos humanos, adquisición, desarrollo del producto, ventas, marketing, logística, gestión de procesos externalizados, etc.)
3. Identificar las técnicas de gestión de proyectos (plan y alcance del proyecto, gestión del tiempo / equipo / recursos / coste, gestión del cambio, etc.)
4. Reconocer las varias formas y elementos de contratos (formalidad, consideración, unilateral, bilateral, etc.)

3. Analítica de datos
1. Describir la analítica de datos, tipos de datos, gobierno de datos y el valor del uso de la analítica de datos en la auditoría interna
2. Explicar el proceso analítico de datos (definir preguntas, obtener datos relevantes, limpiar / normalizar datos, analizar datos, comunicar resultados)
3. Reconocer la aplicación de los métodos de analítica de datos en la auditoría interna (detección de anomalías, análisis de diagnóstico, análisis predictivo, análisis de redes, análisis de texto, etc.)

II. Seguridad de la información (25 %)

1. Seguridad de la información
1. Diferenciar tipos de controles físicos de seguridad comunes (tarjetas, llaves, biométrica, etc.)
2. Diferenciar las varias formas de autenticación de usuario y controles de autorización (contraseña, autenticación de dos niveles, biométrica, firmas digitales, etc.) e identificar riesgos potenciales
3. Explicar el propósito y el uso de varios controles de seguridad de la información (encriptación, cortafuegos, antivirus, etc.)
4. Reconocer las leyes de privacidad de datos y su impacto potencial en las políticas y prácticas de seguridad de datos
5. Reconocer las prácticas tecnológicas emergentes y su impacto en la seguridad (traiga su propio dispositivo [BYOD], dispositivos inteligentes, internet de las cosas [IoT], etc.)
6. Reconocer los riesgos de ciberseguridad existentes y emergentes (hacking, piratería, falsificación, ataques de ransomware, ataques de phishing, etc.)
7. Describir las políticas relacionadas con la ciberseguridad y la seguridad de la información

III. Tecnologías de la información (20 %)

1. Aplicación y software del sistema
1. Reconocer las actividades fundamentales del ciclo vital y la prestación del desarrollo de sistemas (definición de requisitos, diseño, desarrollo, pruebas, depuración, despliegue, mantenimiento, etc.) y la importancia de los controles de cambio a través del proceso
2. Explicar términos básicos de base de datos (datos, base de datos, registro, objeto, campo, esquema, etc.) y términos de internet (HTML, HTTP, URL, nombre de dominio, navegador, hacer clic, intercambio electrónico de datos [EDI], cookies, etc.)
3. Identificar las características clave de los sistemas de software (sistemas de gestión de relaciones con clientes [CRM]; sistemas de planificación de recursos empresariales [ERP]; y sistemas de gobierno, riesgo y cumplimiento [GRC]; etc.)

2. Infraestructura de TI y marcos de control de TI
1. Explicar los conceptos básicos de infraestructura de TI y redes (servidor, ordenador central, configuración cliente-servidor, portales , routers, LAN, WAN, VPN, etc.) e identificar los riesgos potenciales
2. Definir las funciones operacionales del administrador de redes, el administrador de bases de datos y el servicio de asistencia
3. Reconocer el propósito y las aplicaciones de los marcos de control de TI (COBIT, ISO 27000, ITIL, etc.) y los controles básicos de TI

3. Recuperación de desastres
1. Explicar conceptos de sitios para el plan de recuperación de desastres (caliente, templado, frío, etc.)
2. Explicar el propósito de las copias de respaldo de sistemas y datos
3. Explicar el propósito de los procedimientos de recuperación de sistemas y datos

IV. Gestión financiera (20 %)

1. Contabilidad financiera y finanzas
1. Identificar conceptos y principios subyacentes de la contabilidad financiera (tipos de estados financieros y terminología como bonos, arrendamientos, pensiones, activos intangibles, investigación y desarrollo, etc.)
2. Reconocer los conceptos de contabilidad financiera avanzados y emergentes (consolidación, inversiones, sociedades de valor razonable, transacciones en divisa extranjera, etc.)
3. Interpretar el análisis financiero (análisis horizontal y vertical y ratios relacionados con actividad, rentabilidad, liquidez, apalancamiento, etc.)
4. Describir el ciclo de ingresos, las actividades y la contabilidad de la gestión de activos corrientes, y la gestión de la cadena de suministro (incluyendo valoración del inventario y cuentas a pagar)
5. Describir el presupuesto de capital, la estructura de capital, la tributación básica y los precios de transferencia

2. Contabilidad gerencial
1. Explicar los conceptos generales de la contabilidad gerencial (análisis coste – volumen – beneficio, presupuestación, asignación de gastos, análisis coste - beneficio, etc.)
2. Diferenciar sistemas de costes (absorción, variable, fijo, basado en actividades, estándar, etc.)
3. Distinguir varios costes (costes relevantes e irrelevantes, costes incrementales, etc.) y su uso en la toma de decisiones