Cómo crear e implementar un Departamento de Auditoría Interna desde cero en una empresa mediana o grande

¿Por qué crear un Departamento de Auditoría Interna?

En una empresa mediana o grande, el crecimiento suele traer consigo mayores riesgos operativos, financieros, tributarios, laborales, tecnológicos y de cumplimiento. Cuando la organización se expande, ya no basta con controles informales o con la revisión ocasional de la gerencia. En ese contexto, crear un Departamento de Auditoría Interna deja de ser una opción deseable para convertirse en una necesidad estratégica.

La auditoría interna no solo detecta errores o irregularidades. Su verdadero valor está en evaluar si los procesos funcionan adecuadamente, si los controles son suficientes, si los riesgos están identificados y si la empresa está operando de forma eficiente, ética y alineada con sus objetivos.

En el contexto peruano, esto resulta especialmente relevante para empresas familiares en proceso de profesionalización, compañías con varias sedes, organizaciones que manejan efectivo, inventarios o contratos complejos, así como entidades que buscan financiamiento, atraer inversionistas o fortalecer su gobierno corporativo.

Además, un área de auditoría interna bien diseñada contribuye a:

• Reducir riesgos de fraude interno y externo.
• Mejorar la confiabilidad de la información financiera.
• Fortalecer el cumplimiento tributario, laboral y societario.
• Optimizar procesos y reducir costos operativos.
• Dar soporte al directorio, comité de auditoría y gerencia general.
• Preparar a la empresa para auditorías externas, fiscalizaciones de SUNAT o revisiones regulatorias.

¿Qué es exactamente la Auditoría Interna?

La auditoría interna es una actividad independiente y objetiva de aseguramiento y consultoría, diseñada para agregar valor y mejorar las operaciones de una organización. Evalúa y mejora la eficacia de los procesos de gestión de riesgos, control y gobierno corporativo.

Aunque muchas empresas la confunden con inspección, control previo o fiscalización interna, su alcance es mucho más amplio. No se limita a revisar comprobantes o arqueos de caja; también analiza procesos de compras, ventas, recursos humanos, inventarios, tecnología, contratos, cumplimiento normativo y seguridad de la información.

Desde la perspectiva de auditoría financiera, es importante recordar que la existencia y calidad de la auditoría interna también es considerada por el auditor externo. En ese sentido, la NIA 610 - Utilización del trabajo de los auditores internos establece lineamientos sobre cómo el auditor externo puede considerar el trabajo de la función de auditoría interna.

Base normativa y marco de referencia aplicable

Si bien en Perú no todas las empresas privadas están obligadas legalmente a contar con un Departamento de Auditoría Interna, su implementación puede sustentarse en buenas prácticas de gobierno corporativo, control interno y gestión de riesgos.

Entre los marcos de referencia más utilizados destacan:

Normas y referencias técnicas relevantes

• NIA 315 - Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno, útil para comprender la importancia del control interno y la gestión de riesgos.
• NIA 330 - Respuestas del auditor a los riesgos valorados, relevante para entender cómo se diseñan procedimientos frente a riesgos identificados.
• NIA 610 - Utilización del trabajo de los auditores internos, relacionada con la interacción entre auditoría interna y auditoría externa.
• COSO 2013 - Marco Integrado de Control Interno, estándar internacional ampliamente usado para diseñar y evaluar controles internos.
• COSO ERM - Enterprise Risk Management, útil para integrar auditoría interna con gestión de riesgos empresariales.

Normativa peruana vinculada

Dependiendo del sector, también pueden existir obligaciones o expectativas regulatorias específicas. Por ejemplo:

• Ley General de Sociedades, Ley N.° 26887: si bien no exige de forma general un área de auditoría interna para todas las empresas, sí establece deberes de diligencia y responsabilidad de administradores y directores. Resultan especialmente relevantes los artículos 171 y 177, referidos a las atribuciones del directorio y la gestión de la sociedad, en cuanto al deber de supervisión y control.
• Código Tributario, Texto Único Ordenado aprobado por Decreto Supremo N.° 133-2013-EF: el adecuado control interno ayuda a cumplir con obligaciones formales y sustanciales, reduciendo contingencias frente a SUNAT. Por ejemplo, el artículo 87 regula obligaciones de los administrados, como llevar libros y registros y exhibir documentación sustentatoria.
• Ley N.° 29783, Ley de Seguridad y Salud en el Trabajo: exige controles y supervisión sobre riesgos laborales. El artículo 49 establece obligaciones del empleador en materia preventiva, lo que puede ser revisado por auditoría interna.
• Ley N.° 30424, que regula la responsabilidad administrativa de las personas jurídicas por determinados delitos: contar con controles internos y modelos de prevención fortalece la capacidad de la empresa para prevenir actos indebidos.

En empresas reguladas, como entidades financieras, aseguradoras, cooperativas, AFP o empresas supervisadas por organismos sectoriales, puede haber requerimientos adicionales sobre control interno, cumplimiento y auditoría interna.

¿Cuándo una empresa necesita crear este departamento?

No todas las empresas requieren el mismo nivel de sofisticación, pero existen señales claras de que ha llegado el momento de implementar formalmente un Departamento de Auditoría Interna:

• La empresa supera varias decenas de trabajadores y opera en más de una sede.
• Existen altos volúmenes de efectivo, inventarios o activos fijos.
• Hay crecimiento acelerado y los procesos no están estandarizados.
• Se detectan diferencias recurrentes en caja, almacén o conciliaciones.
• La gerencia depende demasiado de personas clave sin controles cruzados.
• Existen observaciones frecuentes de auditoría externa o contingencias tributarias.
• La empresa participa en licitaciones, busca financiamiento o desea institucionalizarse.
• El directorio necesita reportes independientes sobre riesgos y cumplimiento.

Pasos para crear e implementar un Departamento de Auditoría Interna desde cero

1. Definir el propósito y alcance del área

El primer paso no es contratar auditores, sino definir para qué existirá el área. La empresa debe responder preguntas como:

• ¿La auditoría interna revisará solo aspectos financieros o también procesos operativos, tecnológicos y de cumplimiento?
• ¿Reportará a la gerencia general, al directorio o al comité de auditoría?
• ¿Tendrá presencia permanente o funcionará con apoyo externo en una etapa inicial?

En empresas medianas peruanas, una práctica recomendable es empezar con un alcance mixto: financiero, operativo y de cumplimiento. Esto permite generar valor rápidamente.

2. Aprobar un estatuto o manual de auditoría interna

Todo Departamento de Auditoría Interna debe nacer con un documento formal que establezca su misión, autoridad, independencia, responsabilidades y líneas de reporte. Este documento suele llamarse Estatuto de Auditoría Interna.

Debe incluir como mínimo:

• Objetivo del área.
• Alcance de las revisiones.
• Acceso irrestricto a información, personal y documentación.
• Línea de dependencia funcional y administrativa.
• Responsabilidad de emitir informes y hacer seguimiento a observaciones.
• Normas y metodología de trabajo.

Lo ideal es que este estatuto sea aprobado por el directorio o por la máxima autoridad de gobierno de la empresa, para reforzar la independencia del área.

3. Diseñar la estructura organizacional

La estructura dependerá del tamaño y complejidad de la empresa. En una empresa mediana, puede iniciarse con un jefe de auditoría interna y uno o dos auditores. En una empresa grande, puede requerirse especialización por procesos o riesgos.

En todos los casos, la independencia es clave. El área no debe depender operativamente de contabilidad, tesorería o administración, porque terminaría auditando funciones con las que comparte intereses directos.

4. Establecer la línea de reporte adecuada

Uno de los errores más comunes en Perú es ubicar auditoría interna bajo la gerencia de administración y finanzas. Esto debilita su objetividad. La buena práctica es que el responsable de auditoría interna reporte funcionalmente al directorio o comité de auditoría, y administrativamente a gerencia general solo para aspectos logísticos.

Esto permite que el auditor interno pueda revisar sin restricciones áreas sensibles como tesorería, contabilidad, compras, planillas o contratos.

5. Realizar un diagnóstico inicial de riesgos y controles

Antes de elaborar un plan anual, es indispensable conocer la empresa. Para ello se debe hacer un diagnóstico inicial que identifique:

• Procesos críticos.
• Riesgos inherentes y residuales.
• Controles existentes.
• Brechas de diseño y ejecución.
• Áreas con mayor exposición a fraude o error.

Este diagnóstico puede incluir entrevistas, revisión documental, walkthroughs de procesos, análisis de indicadores y pruebas preliminares.

Ejemplo práctico

Una empresa comercial en Lima con ventas anuales de S/ 45 millones detecta diferencias frecuentes entre inventario físico y kardex. Al realizar el diagnóstico inicial, se identifica que el almacén despacha mercadería sin guía interna aprobada, que los accesos al sistema ERP no están segregados y que el jefe de almacén también valida ajustes de inventario. En este caso, auditoría interna debería priorizar controles de inventarios, segregación de funciones y trazabilidad documental.

6. Elaborar el mapa de riesgos y el plan anual de auditoría

Con base en el diagnóstico, se construye un mapa de riesgos y luego un plan anual de auditoría interna. El plan debe priorizar las áreas de mayor riesgo, no solo las más visibles.

Un plan anual bien diseñado suele considerar:

• Objetivos de cada auditoría.
• Procesos o unidades a revisar.
• Nivel de riesgo.
• Horas estimadas.
• Recursos asignados.
• Cronograma.
• Trabajos de seguimiento.

7. Definir metodología, papeles de trabajo e informes

La auditoría interna necesita una metodología uniforme. No basta con revisar y comentar hallazgos verbalmente. Deben existir procedimientos documentados para:

• Planificación de auditorías.
• Levantamiento de información.
• Muestreo y pruebas.
• Documentación en papeles de trabajo.
• Comunicación de observaciones.
• Clasificación de hallazgos por criticidad.
• Seguimiento de planes de acción.

Los informes deben ser claros, ejecutivos y orientados a la toma de decisiones. Cada hallazgo debería incluir:

• Condición: qué ocurrió.
• Criterio: qué debió ocurrir.
• Causa: por qué ocurrió.
• Efecto: cuál es el impacto o riesgo.
• Recomendación: qué debe hacerse.
• Responsable y plazo de implementación.

8. Contratar al personal adecuado

El perfil del equipo es determinante. No se trata solo de contadores; una auditoría interna moderna puede requerir profesionales con experiencia en finanzas, procesos, sistemas, riesgos, cumplimiento y análisis de datos.

En una empresa mediana, el líder del área debería tener experiencia práctica en control interno, auditoría y conocimiento del negocio. También es deseable manejo de normativa tributaria peruana, ERP y habilidades de comunicación.

Competencias clave:

• Independencia de criterio.
• Capacidad analítica.
• Conocimiento de riesgos y controles.
• Redacción de informes.
• Ética profesional.
• Manejo de herramientas tecnológicas.

9. Implementar indicadores de desempeño del área

Un Departamento de Auditoría Interna también debe medirse. Algunos indicadores útiles son:

• Porcentaje de cumplimiento del plan anual.
• Tiempo promedio de emisión de informes.
• Porcentaje de observaciones implementadas por las áreas auditadas.
• Número de hallazgos críticos detectados.
• Reducción de incidencias repetitivas.
• Mejoras económicas o ahorros generados por recomendaciones.

10. Hacer seguimiento y generar cultura de control

La auditoría interna no termina con la emisión del informe. Su efectividad depende del seguimiento real a las recomendaciones. Muchas empresas fracasan en esta etapa porque las observaciones quedan sin implementar durante meses.

Por ello, el área debe emitir reportes periódicos de seguimiento a gerencia y directorio, destacando observaciones vencidas, riesgos no mitigados y áreas reincidentes.

Además, debe promover una cultura de control, no de persecución. Cuando las áreas entienden que auditoría interna ayuda a prevenir problemas y mejorar procesos, la colaboración aumenta significativamente.

Funciones principales de un Departamento de Auditoría Interna

Errores comunes al implementar auditoría interna

Confundir auditoría interna con control operativo diario

El auditor interno no debe aprobar pagos, registrar operaciones ni ejecutar controles de primera línea. Su función es evaluar, no administrar.

Restarle independencia

Si el área depende de quienes luego auditará, su objetividad queda comprometida.

Enfocarse solo en contabilidad

Hoy los principales riesgos muchas veces están en compras, sistemas, seguridad de información, inventarios o cumplimiento regulatorio.

No contar con apoyo de la alta dirección

Sin respaldo del directorio y gerencia general, las observaciones pierden fuerza y no se implementan.

No documentar adecuadamente

Los hallazgos deben sustentarse con evidencia suficiente y apropiada. Este principio también guarda relación con lo que exigen las buenas prácticas de auditoría y con el enfoque de la NIA 500 - Evidencia de auditoría.

¿Conviene implementarlo con equipo propio o apoyo externo?

La respuesta depende del tamaño, presupuesto y madurez de la empresa. En muchos casos, una alternativa eficiente es iniciar con un esquema mixto: un responsable interno y soporte especializado externo.

Ejemplo práctico

Una empresa industrial en Arequipa con ingresos de S/ 120 millones decide crear su área de auditoría interna. Durante el primer año contrata a un jefe interno y terceriza auditorías especializadas de TI y tributación. Este modelo le permite cubrir riesgos críticos sin asumir de inmediato una estructura amplia. Al cierre del año, logra reducir observaciones recurrentes en compras y mejorar el control de activos fijos.

Beneficios concretos para empresas peruanas

En la práctica, un Departamento de Auditoría Interna bien implementado genera beneficios tangibles. Por ejemplo:

• Disminuye pérdidas por faltantes de inventario.
• Detecta pagos duplicados o proveedores vinculados no declarados.
• Reduce reparos tributarios por sustento deficiente de gastos.
• Mejora la calidad de la información para bancos e inversionistas.
• Fortalece la disciplina documental ante fiscalizaciones de SUNAT.
• Ayuda a profesionalizar empresas familiares.

Ejemplo práctico

Una empresa de servicios en Trujillo, con 250 trabajadores, no contaba con auditoría interna. Tras una revisión inicial, se detectó que algunos contratos de locación de servicios encubrían relaciones laborales, generando una contingencia potencial en aportes y beneficios sociales. Con la intervención del nuevo departamento, se regularizaron contratos, se actualizaron políticas de contratación y se redujo el riesgo de sanciones laborales y tributarias.

Recomendaciones finales para una implementación exitosa

• Empiece por los riesgos más relevantes, no por revisar todo al mismo tiempo.
• Formalice el área mediante estatuto, manuales y plan anual.
• Asegure independencia y acceso directo al directorio o alta gerencia.
• Use un enfoque basado en riesgos y no solo en revisión documental.
• Integre auditoría interna con cumplimiento, gestión de riesgos y gobierno corporativo.
• Capacite al equipo en normativa peruana, procesos y herramientas tecnológicas.
• Mida resultados y haga seguimiento riguroso a las acciones correctivas.

Conclusión

Crear e implementar un Departamento de Auditoría Interna desde cero en una empresa mediana o grande es una decisión estratégica que fortalece el control interno, mejora la eficiencia operativa, reduce contingencias y brinda mayor confianza a accionistas, directorio, gerencia y terceros interesados.

En el entorno empresarial peruano, donde los riesgos tributarios, operativos y de fraude pueden tener impactos significativos, contar con una función de auditoría interna independiente y bien estructurada ya no es un lujo, sino una herramienta de gestión indispensable.

Si su empresa está evaluando implementar un área de auditoría interna, rediseñar su estructura de control o fortalecer sus procesos de supervisión, en Carlos Lingan & Asociados S.C. podemos ayudarle con un enfoque técnico, práctico y adaptado a la realidad peruana.

Para consultas o asesoría especializada, escríbanos a auditor@carloslingan.pe.