Auditoría de riesgos eficaz para la gestión gubernamental óptima de los ceticos (página 2)

Darril Gibson en su Libro: Managing Risk in Information Systems / Gestión de Riesgos en Sistemas de Información. (2011) refiere: "Que la Auditoría de Riesgos para su aplicación se apoya en el Estándar Internacional de Gestión de Riesgos ISO 31010, ISO 31,000:2009 y Estándar Australiano 4360:2004, por tanto sus fases están demarcadas de la siguiente manera: Fase 1: Establecer el Contexto Estratégico y Organizacional; Fase 2: Identificación de Riesgos; Fase 3: Análisis de Riesgos. Fase 4: Evaluación de Riesgos; Fase 5: Tratamiento de Riesgos; Fase 6: Supervisión y Monitoreo y Fase 7: Comunicación y Consulta". "Desde mi perspectiva las fases de la Auditoría de Riesgos me parecen muy interesantes y un aspecto en el cual debo de ahondar es que aparecen nuevas técnicas de auditoría para poder desarrollar una auditoría de calidad y acorde a las exigencias de nuestros clientes".

2.2.3 Base Legal

La Base Legal que he utilizado en mi Investigación ha sido la siguiente:

• Reglamento de Organización y Funciones del Céticos Paita.

• Procedimiento de Calidad Inta PG 22.

• Directiva Nº 001-2008 "Directiva de Control de Ingreso y Salida de Vehículos de la Actividad de Talleres".

• Directiva de Infracciones y Sanciones del Céticos Paita.

• Normas de Control Interno Resolución de Contraloría General 320-2006.

• Reglamento de Seguridad y Salud en el Trabajo.

• Libro de Seguridad de Montacargas.

• Norma A.130 Requisitos de Seguridad.

• Norma Técnica Peruana 399.010-1-2004.

• Decreto Supremo Nº 005-94-IN Reglamento de Servicios de Seguridad Privada.

• Manual de Uso Adecuado de Recursos Informáticos del Ceticos Paita.

• Manual de Uso Adecuado de Correo Corporativo Institucional del Ceticos Paita.

2.2.4 Coso II ERM / Enterprise Risk Management

José Vinicio Zapata Chancusig en su libro: Auditoría con Enfoque de Riesgos. (2009). Refiere: "El Enterprise Risk Management se define como la Administración de Riesgos Corporativos es un proceso efectuado por el Directorio, Administración y las personas de la Organización, es aplicado desde la definición estratégica hasta las actividades del día a día, diseñado para identificar eventos potenciales que pueden afectar a la organización y administrar los riesgos dentro de su apetito, a efectos de proveer una seguridad razonable respecto del logro de los objetivos de la organización". "Como investigador me gustaría agregar a esta definición que toda empresa para llegar a su objetivo está dispuesta a asumir un riesgo el cual debe de ser administrado eficientemente por toda la organización para arribar al objetivo misional (apetito de riesgo)".

Gabriel Hernández Morales en su libro: Auditoría Interna Basada en Riesgos. (2010). Refiere: "EL COSO ERM Es un proceso efectuado por el consejo de administración, la dirección y el resto de personal de una entidad, diseñado con el propósito de proporcionar una grado de seguridad razonable en cuanto a la consecución de objetivos dentro de las siguientes categorías: eficacia y eficiencia de las operaciones fiabilidad de la información financiera y cumplimiento de leyes y normas aplicables". Coincido con el Autor y concluyo que las Organizaciones Modernas en General siempre estarán dispuestas a asumir un apetito de riesgo.

2.2.5 Seguridad de la Información

Javier Areitio Bertolín en su libro: Seguridad de la Información. (2008). Refiere: "La seguridad de los sistemas de información es una disciplina en continua evolución. La meta final de la seguridad es permitir que una organización cumpla con todos sus objetivos de negocio o misión, implementando sistemas que tengan un especial cuidado y consideración hacia los riesgos relativos a las Tecnologías de Información y Comunicaciones de la organización, a sus socios comerciales, clientes, administración pública, suministradores, etc. "Coincido con el autor y al mismo tiempo concluyo que con esta tendencia la organización trata de proteger sus activos de información tangibles e intangibles ante amenazas y debilidades que atenten contra la continuidad del negocio".

2.3 Marco conceptual

Dentro del marco Teórico de mi investigación científica se han considerado a los siguientes autores, con lo cuales he coincido y en algunas ocasiones he aportado un aspecto relevante a las investigaciones realizadas:

2.3.1 Auditoría de Riesgos

Interpretando a Rodrigo Estupiñan Gaitán, en su libro "Administración o Gestión de Riesgos ERM y la Auditoria Interna" (2007) refiere: "La Auditoria de Riesgos es un examen independiente, profesional y especializado que consiste en evaluar los procesos críticos del negocio de manera integral con la finalidad de reportar al ejecutivo eventos de cualquier índole: financieros, operacionales, tecnológicos, laborales y de responsabilidad social empresarial que podrían perjudicar a la organización en su conjunto, para que dicha organización en su conjunto tenga en cuenta las recomendaciones formuladas por la Auditoría de Riesgos e implemente las medidas correctivas pertinentes", "Coincido rotundamente en sus definiciones en que la Auditoría de Riesgos implica en llevar a cabo una evaluación integral del negocio con la finalidad de alertar al ejecutivo de posibles perjuicios económicos, financieros, tecnológicos y ambientales que pueden poner en peligro a la organización en su conjunto, con la finalidad de que los altos niveles gerenciales con la ayuda de sus colaboradores tomen las medidas correctivas y preventivas pertinentes para mitigar tales sucesos".

2.3.2 Metodología de la Auditoría Interna Basada en la Administración de Riesgos.

Interpretando a Darril Gibson en su Libro: Managing Risk in Information Systems / Gestión de Riesgos en Sistemas de Información (2011), al ISO 31010:2009, ISO 31,000:2009, Estándar Australiano 4360:2004 La metodología de la auditoría de riesgos se refleja en la siguiente tabla:

A continuación explicaré las Fases de esta Auditoría de Riesgos:

Fase 1: Establecer el Contexto Estratégico y Organizacional

El Auditor Conoce a la Organización en su conjunto y a los procesos críticos que van a ser sujetos a examen con la ayuda de diagramas de proceso bajo el enfoque de planeación, responsabilidad de la dirección, supervisión y monitoreo y mejora continua (PDCA). Identificando, Procesos y Controles que mitigan a riesgos organizacionales.

El Auditor conoce la Misión, Visión, Estrategias y metas a largo plazo de la Organización.

Identifica sus Procesos Misionales y de Soporte.

Se formula una Opinión sobre la gestión de riesgos que maneja la entidad.

Fase 2: Identificación de Riesgos.

Elaboración de Enunciado de Aplicabilidad e Identificación de Observaciones. Luego de Conocer el Negocio y los procesos críticos del mismo el auditor elabora un enunciado de aplicabilidad de todos y cada uno de los procesos que va a auditar y lleva a cabo un sinceramiento de controles identificando fortalezas y posibles riesgos. Con la finalidad de identificar el número de observaciones y/o riesgos luego de haber sincerado a los controles en su totalidad.

Fase 3: Análisis de Riesgos

Luego de haber identificado los riesgos en su enunciado de aplicabilidad el Auditor procede a Calificar el Nivel de Efectividad, Implementación, Riesgo y Madurez de los Controles y Riesgos sujetos a evaluación. De acuerdo a los requerimientos establecidos en los estándar: Australiano Neozelandés, ISO 31:000:2009 e ISO 31010.

Fase 4: Evaluación de Riesgos

Calificados los Controles y riesgos se procede a llevar a cabo la interpretación de los mismos y se forman las primeras conclusiones sobre el número de riesgos identificados, el nivel de implementación y efectividad que poseen a que nivel de riesgo mitigan y en qué nivel de madurez se encuentran. Los resultados de estas evaluaciones oscilan de muy malo a aceptable.

Fase 5: Tratamiento de Riesgos

Los resultados de la evaluación que suelen ser malos o buenos se comunican al gerente General junto con el Plan de Tratamiento de Medida Correctivas, en donde: Se Formulan recomendaciones para mejorar la gestión organizacional o gubernamental. Se Identifican a las personas que instauraran los controles que mitigaran los riesgos y finalmente se Identificaran a las personas que supervisaran a las personas encargadas de mitigar los riesgos.

Fase 6: Supervisión y Monitoreo

Esta es la Fase de Seguimiento de Medidas Correctivas instaurados por los auditados. En donde el auditor evalúa los descargos y aclaraciones de los correctivos instaurados por los auditados y determina el estado situacional de los riesgos que va desde atendido, en proceso de atención y pendiente de implementación.

Finalmente el Auditor debe de llevar a cabo una Autoevaluación del impacto que ha generado la Auditoría de Riesgos en el negocio.

Fase 7: Comunicación y Consulta

Presentar a los Ejecutivos el Informe Final de la Auditoría de Riesgos. En donde se refleja los resultados de cómo se viene manejando la empresa a nivel de gestión gubernamental y a nivel de gestión de riesgos.

"Dichos planteamientos serán utilizados en el trabajo de investigación con la finalidad de conocer los procesos críticos del negocio que serán auditables en nuestra investigación como por ejemplo: El control de Ingreso y Salida de Mercancías de las Actividades de Almacenes, Industrias y Talleres, El Sistema de Control Interno y de Seguridad de la Información del Ceticos Paita. Los cuáles serán abordados en la Fase de Planeación de la Auditoría. Luego al Poner en práctica los procedimientos y técnicas de auditoria de riesgos determinaré los posibles riesgos / observaciones que afectan a los procesos críticos de la entidad, recomendaré acciones de mejora que mitiguen tales eventos y monitorearé el seguimiento de correctivos instaurados por los ejecutivos para finalmente llegar a concluir cual ha sido el impacto que ha generado la recomendación propuesta por la Auditoría de Riesgos dentro del Ceticos Paita. Con estos pasos habremos cubierto las fase de ejecución, análisis, recomendación y seguimiento de la Auditoría de Riesgos".

Los Instrumentos de Recolección de Datos que utiliza la Auditoría de las fases 1 a la 7 las explicó cuantitativa y cualitativamente en el punto 2.3.4 y 3.7 de mi investigación.

2.3.3 Unidad de análisis sujeta a evaluación

El Centro de Exportación, Transformación, Industria, Comercialización, y Servicios de Paita – CETICOS PAITA, es un Organismo Público Descentralizado adscrito al Gobierno Regional de Piura, de acuerdo a la Ley 29014, que tiene personería jurídica de Derecho Público, con Autonomía Administrativa, Técnica, Económica, Financiera y Operativa.

La finalidad de CETICOS PAITA, es generar polos de desarrollo a través del incremento de la mano de obra directa e indirecta, los niveles de consumo en las zonas de influencia, el nivel de exportaciones en general y la consolidación del desarrollo socio económico regional.

Las expectativas de largo Plazo de CETICOS PAITA, radica en convertirse en una herramienta fundamental del desarrollo económico regional y del país, impulsor de una cultura exportadora y de internacionalización de nuestra economía, sobre la base de eficiencia, eficacia y competitividad.

Actualmente la organización es una zona primaria aduanera de tratamiento especial, generador de polos de desarrollo, promotor de la inversión privada nacional y extranjera orientada a actividades productivas y exportadoras, cuyo objetivo social estratégico es el de incrementar la mano de obra directa e indirecta, niveles de consumo en sus zonas de influencia y la consolidación del desarrollo económico regional.

Entre sus principales regulaciones destacan: Decreto Legislativo Nº 864, Decreto Supremo Nº 010-2006-MINCETUR, Decreto Supremo Nº 013-2006-MINCETUR.

La actividad principal del Ceticos Paita, es el otorgamiento de lotes en cesión en uso (figura similar a un alquiler) que se efectúa a título oneroso y mediante subasta pública, conforme a lo dispuesto por la Resolución Ministerial Nº 063-97-EF/15.

2.3.4 Indicadores para evaluar nivel de cumplimiento y efectividad del CETICOS PAITA en la aplicación de los procedimientos de calidad y directivas internas para el adecuado control y administración del ingreso y salida de mercancías de las actividades de Almacenes, Talleres e Industrias

2.3.4.1 Indicadores Legales Cualitativos

2.3.4.1 Reglamento de Organización y Funciones del Céticos Paita

El Reglamento de Organización y Funciones del Céticos Paita, aprobado con Decreto Supremo Nº 013-2006 MINCETUR, del 20/10/2006, en su TITULO PRIMERO, DE LAS DISPOSICIONES GENERALES, Artículo Nº 2 Jurisdicción, manifiesta: "CETICOS PAITA ejerce su competencia en el ámbito comprendido por el área cercada denominada ciudadela, el área contigua y los terrenos adyacentes registrados a nombre del CETICOS PAITA".

2.3.4.2 Procedimiento de Calidad Inta PG 22

El Procedimiento General INTA PG 22, referido al Ingreso de Mercancías del Exterior arribadas por el Puerto de Paita, en su CAPITULO VII DESCRIPCION, APARTADO A.3) TRASLADO DE MERCANCIA DESDE EL PUESTO DE CONTROL FRONTERIZO DE SANTA ROSA AL CETICOS, NUMERAL 3. Manifiesta: "Tratándose de bultos en mala condición exterior o exista indicios de violación de los sellos y precintos de seguridad, se efectúa el reconocimiento físico en el puesto de control debiéndose formular el Acta de Inventario".   

2.3.4.3 Directiva Nº 001-2008 "Directiva de Control de Ingreso y Salida de Vehículos de la Actividad de Talleres"

La Directiva Nº 001-2008 CETICOS PAITA, Aprobada con Resolución de Gerencia General Nº 012-2008-CETICOS PAITA del 10/04/2008, en su CAPITULO VII, INGRESO DE VEHICULOS Y SUS REPUESTOS ARRIBADOS POR EL PUERTO DE PAITA, en su Procedimiento 1, manifiesta: "El Usuario de Ceticos debidamente acreditado y/o su representante y/o transportista, solicita ante la Administración de Ceticos Paita, el ingreso de los vehículos y/o repuestos, acompañando en la documentación declarada en la Solicitud de Traslado.

Para el Ingreso de Vehículos

• Solicitud de Traslado.

• Revisa 1 (original y copias).

• Documento de Embarque.

• Factura Comercial.

• Manifiesto de Carga.

• Ticket de Peso del Terminal de Almacenamiento.

Para el Ingreso de Repuestos

• Solicitud de Traslado.

• Documento de Embarque.

• Factura Comercial.

• Manifiesto de Carga.

• Ticket de Peso del Terminal de Almacenamiento".

La Directiva Nº 001-2008 CETICOS PAITA, Aprobada con Resolución de Gerencia General Nº 012-2008-CETICOS PAITA del 10/04/2008, en su CAPITULO VIII, ORDEN DE SALIDA DE PARTES Y PIEZAS, en su Procedimiento 3, manifiesta: "El Inspector de operaciones deberá de corroborar con los Registros, la Documentación amparada en la Orden de Salida de Partes y Piezas".

La Directiva Nº 001-2008 CETICOS PAITA, Aprobada con Resolución de Gerencia General Nº 012-2008-CETICOS PAITA del 10/04/2008, en su CAPITULO VIII, SALIDA DE VEHICULOS DE CETICOS PARA EXPORTACION, en su Procedimiento 3, manifiesta: "El Inspector de Operaciones deberá de revisar los Datos de la DUA – provisional la documentación, Los detalles a tener en cuenta en la revisión son:

• Número de DUA.

• Firmas de la Agencia de Aduana.

• El importador del Vehículo haya regularizado su Inscripción como Usuario.

• Número de Certirec no sea repetido.

• La Orden de Salida del Vehículo tenga la firma y fecha del Taller.

• Declaración de Salida.

La Directiva Nº 001-2008 CETICOS PAITA, Aprobada con Resolución de Gerencia General Nº 012-2008-CETICOS PAITA del 10/04/2008, en su CAPITULO VIII, SALIDA DE MERCANCIAS DE LOS TALLERES DE REPARACION Y REACONDICIONAMIENTO DE VEHICULOS SINIESTRADOS, AL RESTO DEL TERRITORIO NACIONAL, en su Procedimiento 12, manifiesta: "El Inspector de Operaciones deberá de revisar la documentación la misma que debe tener en cuenta los siguientes detalles:

• Número de DUA y el Canal.

• Firmas de Especialista de Aduana, del Agente de Aduana y el Sello de Cancelación de la Póliza.

• El importador del Vehículo haya regularizado su Inscripción como Usuario.

• Levante Autorizado para el retiro de la Carga.

• Número de Certirec no sea repetido.

• La Orden de Salida del Vehículo tenga la firma del Taller".

2.3.4.4 Directiva de Infracciones y Sanciones del Céticos Paita

Artículo 11 de la Directiva de Infracciones y Sanciones del Céticos Paita, que a la letra dice: "Son infracciones cometidas por los usuarios sancionados con multa: a) aplicables a todas las actividades desarrolladas por los usuarios: Punto Nº 3: Incumplir las normas vigentes sobre protección y seguridad, conservación del medio ambiente, áreas verdes, flora y fauna así como las demás disposiciones que se dicten al respecto".

2.3.4.5 Normas de Control Interno Resolución de Contraloría General 320-2006

Las NORMAS de Control Interno, aprobadas con Resolución de Contraloría General Nº 320-2006-CG del 30 de Octubre del 2006, en su Capítulo III Literal 1 NORMA GENERAL PARA EL AMBIENTE DE CONTROL en el Punto 1.5. Administración de Recursos Humanos, manifiesta: Es necesario que el titular o funcionario designado establezca políticas y procedimientos necesarios para asegurar una apropiada planificación y administración de los recursos humanos de la entidad, de manera que se garantice el desarrollo profesional y asegure la transparencia, eficacia y vocación de servicio a la comunidad.

Las NORMAS de Control Interno, aprobadas con Resolución de Contraloría General Nº 320-2006-CG del 30 de Octubre del 2006, en su Capítulo III Literal I NORMAS BÁSICAS PARA EL AMBIENTE DE CONTROL en el Punto 1.7. Asignación de Autoridad y Responsabilidad, manifiesta: "Es necesario asignar claramente al personal sus deberes y responsabilidades, así como establecer relaciones de información, niveles y reglas de autorización, así como los límites de su autoridad".

Las NORMAS de Control Interno, aprobadas con Resolución de Contraloría General Nº 320-2006-CG del 30 de Octubre del 2006, en su Capítulo III Literal II NORMA GENERAL PARA LA EVALUACION DE RIESGOS en el Punto 2.3. Valoración de los riesgos; manifiesta: "El análisis o valoración del riesgo le permite a la entidad considerar cómo los riesgos potenciales pueden afectar el logro de sus objetivos. Se inicia con un estudio detallado de los temas puntuales sobre riesgos que se hayan decidido evaluar. El propósito es obtener la suficiente información acerca de las situaciones de riesgo para estimar su probabilidad de ocurrencia, tiempo, respuesta y consecuencias".

Las NORMAS de Control Interno, aprobadas con Resolución de Contraloría General Nº 320-2006-CG del 30 de Octubre del 2006, en su Capítulo III Literal III NORMAS BÁSICAS PARA LAS ACTIVIDADES DE CONTROL GERENCIAL en el Punto 3.2. Segregación de Funciones, manifiesta: "La segregación de funciones en los cargos o equipos de trabajo debe contribuir a reducir los riesgos de error o fraude en los procesos, actividades o tareas. Es decir, un solo cargo o equipo de trabajo no debe tener el control de todas las etapas clave en un proceso, actividad o tarea".

Las NORMAS de Control Interno, aprobadas con Resolución de Contraloría General Nº 320-2006-CG del 30 de Octubre del 2006, en su Capítulo III Literal III NORMAS BÁSICAS PARA LAS ACTIVIDADES DE CONTROL GERENCIAL en el Punto 3.4. Controles sobre el Acceso a los recursos o archivos, manifiesta: "El acceso a los recursos o archivos debe limitarse al personal autorizado que sea responsable por la utilización o custodia de los mismos. La responsabilidad en cuanto a la utilización y custodia debe evidenciarse a través del registro en recibos, inventarios o cualquier otro documento o medio que permita llevar un control efectivo sobre los recursos o archivos".

Las NORMAS de Control Interno, aprobadas con Resolución de Contraloría General Nº 320-2006-CG del 30 de Octubre del 2006, en su Capítulo III Literal III NORMAS BÁSICAS PARA LAS ACTIVIDADES DE CONTROL GERENCIAL en el Punto 3.5 Verificaciones y Conciliaciones, que manifiesta: "Los procesos, actividades o tareas significativos deben ser verificados antes y después de realizarse, así como también deben ser finalmente registrados y clasificados para su revisión posterior".

Las NORMAS de Control Interno, aprobadas con Resolución de Contraloría General Nº 320-2006-CG del 30 de Octubre del 2006, en su Capítulo III Literal 3 NORMAS BÁSICAS PARA LAS ACTIVIDADES DE CONTROL GERENCIAL en el Punto 3.8. Documentación de procesos, actividades y tareas, manifiesta: "Los procesos, actividades y tareas deben estar debidamente documentados para asegurar su adecuado desarrollo de acuerdo con los estándares establecidos, facilitar la correcta revisión de los mismos y garantizar la trazabilidad de los productos o servicios generados"·

Las NORMAS de Control Interno, aprobadas con Resolución de Contraloría General Nº 320-2006-CG del 30 de Octubre del 2006, en su Capítulo III Literal IV NORMAS BÁSICAS PARA LAS ACTIVIDADES DE CONTROL GERENCIAL en el Punto 4.3. Calidad y suficiencia de la información, manifiesta: "El titular o funcionario designado debe asegurar la confiabilidad, calidad, suficiencia, pertinencia y oportunidad de la información que se genere y comunique. Para ello se debe diseñar, evaluar e implementar mecanismos necesarios que aseguren las características con las que debe contar toda información útil como parte del sistema de control interno".

Las NORMAS de Control Interno, aprobadas con Resolución de Contraloría General Nº 320-2006-CG del 30 de Octubre del 2006, en su Capítulo III Literal IV NORMAS BÁSICAS PARA LAS ACTIVIDADES DE CONTROL GERENCIAL en el Punto 4.4. Sistemas de información, manifiesta: "Los sistemas de información diseñados e implementados por la entidad constituyen un instrumento para el establecimiento de las estrategias organizacionales y, por ende, para el logro de los objetivos y las metas. Por ello deberá ajustarse a las características, necesidades y naturaleza de la entidad. De este modo, el sistema de información provee la información como insumo para la toma de decisiones, facilitando y garantizando la Transparencia en la Rendición de Cuentas".

2.3.4.6 Reglamento de Seguridad y Salud en el Trabajo

DECRETO SUPREMO Nº 009-2005-TR REGLAMENTO DE SEGURIDAD Y SALUD EN EL TRABAJO, en su Artículo 6), literal f) que a la letra dice: "Velar por el cumplimiento de la normativa sobre prevención de riesgos laborales mediante las actuaciones de vigilancia y control. Para estos efectos, prestarán el asesoramiento y la asistencia técnica necesarios para el mejor cumplimiento de dicha normativa y desarrollarán programas específicos dirigidos a lograr una mayor eficacia en el control"·

EL REGLAMENTO DE SEGURIDAD Y SALUD EN EL TRABAJO DECRETO SUPREMO Nº 009-2005-TR, del 28 de Setiembre del año 2005, TÍTULO IV DERECHOS Y OBLIGACIONES CAPÍTULO I DERECHOS Y OBLIGACIONES DE LOS EMPLEADORES en su Artículo 37, manifiesta: "El empleador debe ejercer un firme liderazgo y manifestar su respaldo a las actividades de su empresa en materia de seguridad y salud en el trabajo; asimismo, debe estar comprometido a fin de proveer y mantener un ambiente de trabajo seguro y saludable en concordancia con las mejores prácticas y con el cumplimiento de las normas de seguridad y salud en el trabajo".

El Reglamento de Seguridad y Salud en el Trabajo, Aprobado con Decreto Supremo Nº 009-2005-TRL, en su TÍTULO IV DERECHOS Y OBLIGACIONES, Capítulo I DERECHOS Y OBLIGACIONES DE LOS EMPLEADORES, Artículo 39, literal a manifiesta: "Garantizar la seguridad y la salud de los trabajadores en el desempeño de todos los aspectos relacionados con su labor, en el centro de trabajo o con ocasión del mismo".

2.3.4.7 Libro de Seguridad de Montacargas

El libro de Seguridad con los Montacargas, de acuerdo a Estándar OSHA CFR 29 de la sección 1910.178, que regula el uso seguro de los montacargas y otros "vehículos industriales motorizados" En su folios 16 y 17, manifiesta: "Procedimientos de Seguridad para maniobrar un montacarga de manera segura."

El libro de Seguridad con los Montacargas, de acuerdo a Estándar OSHA CFR 29 de la sección 1910.178, que regula el uso seguro de los montacargas y otros "vehículos industriales motorizados" En su folios 02 al 37, manifiesta: Los siguientes procesos documentarios que deberá de tener en cuenta el operador de un montacarga como: "a) Clases de Montacargas, b) Adiestramiento, c) Como funciona un montacargas, d) Características de Seguridad con los Montacargas, e) Como acarrean y levantan los montacargas, f) Maniobrando un montacargas y g) Mantenimiento".

2.3.4.8 Norma A.130 Requisitos de Seguridad

NORMA A.130 REQUISITOS DE SEGURIDAD, publicada en el Diario Oficial el Peruano del 09/06/2006, en su CAPITULO II SEÑALIZACIÓN DE SEGURIDAD artículo 37º manifiesta: "La cantidad de señales, los tamaños, deben tener una proporción lógica con el tipo de riesgo que protegen y la arquitectura de la misma. Las dimensiones de las señales deberán estar acordes con la NTP 399.010-1 y estar en función de la distancia de observación".

2.3.4.9 Norma Técnica Peruana 399.010-1-2004

LA NORMA TECNICA PERUANA NTP 399.010-1-2004, del 12/02/2004, en su Punto 3 CAMPO DE APLICACIÓN, Párrafo 1 Manifiesta: " Esta norma técnica peruana se aplica a las señales de seguridad que se deben utilizar en todos los locales públicos, privados, turísticos, recreacionales, locales de trabajo, industriales, comerciales, centros de reunión, locales de espectáculos, hospitalarios, locales educacionales, así como lugares residenciales; con la finalidad de orientar, prevenir y reducir accidentes, riesgos a la salud y facilitar el control de las emergencias, a través de colores, formas, símbolos y dimensiones."

2.3.4.10 Decreto Supremo Nº 005-94-IN Reglamento de Servicios de Seguridad Privada

Decreto Supremo Nº 005-94-IN Reglamento de Servicios de Seguridad privada aprobado el 12/05/1994, en sus Capítulos IX, X y XI manifiesta:

CAPÍTULO IX DEL UNIFORME DISTINTIVOS Y ARMAS, Art 61: "El personal que presta servicios de seguridad privada sólo podrá usar armas, uniformes y distintivos durante el ejercicio de sus funciones e inmediatamente después de cumplida la jornada laboral; el arma deberá ser entregada a la persona autorizada para su custodia o seguridad, en su mismo centro de trabajo".

CAPÍTULO X INSTRUCCIÓN Y CAPACITACIÓN, Art 64: "Las actividades de formación, capacitación y reentrenamiento del personal que desempeña actividades de vigilancia privada se efectuará por el “Centro de Instrucción'' dependiente de la Subdirección de Servicios de Seguridad – DICSCAMEC".

CAPÍTULO XI DE LAS OBLIGACIONES DE LA EMPRESA, Art 67: "Todas las Empresas o personas naturales que prestan servicios de seguridad privada en cualquiera de las modalidades a que se refiere el artículo 10o. del presente Reglamento, bajo responsabilidad de sus Representantes Legales debidamente reconocidos por el Órgano Competente, deberán cumplir con las siguientes obligaciones:

a) Contar con el Reglamento Interno aprobado por el Ministerio de Trabajo y Visado por la DICSCAMEC.

b) Seleccionar y contratar personal idóneo de nacionalidad peruana, ejecutivo y/o funcionario y específicamente de vigilancia, el mismo que debe ser evaluado física y psicológicamente"…

2.3.4.2 Indicadores Cuantitativos que serán evaluados por la Auditoría de Riesgos

Dichos Indicadores se han construido de acuerdo a las Normas y Directivas Internas que aplica el Céticos Paita para el adecuado control del Ingreso y Salida de mercancías dentro de las actividades de almacenes Industrias y Talleres

Identificados los Indicadores el Auditor deberá de calificar el nivel de cumplimiento efectividad, riesgo y madurez en función a los criterios cuantitativos establecidos en el Estándar Neozelandés ANZS 4360, ISO 31:000-2009 e ISO 31010:2009, que a continuación se detallan:

Incumplimiento Alto: Significa que el elemento muestra un limitado desarrollo, y su funcionamiento causa problemas para la normal ejecución de la gestión. Si bien no impide el logro de los resultados, los retrasa de manera importante y sólo se obtienen de manera parcial.

Incumplimiento Mediano: Significa que el elemento analizado muestra un mediano grado de desarrollo. Su aporte al logro de los objetivos no es sustancial y presenta dificultades operativas que retrasan la ejecución de las metas previstas.

Cumplimiento: Significa que el elemento analizado muestra un grado de desarrollo importante y aporta de manera sustancial al logro de los objetivos. De manera no significativa, presenta algunas dificultades, pero los resultados finales se obtienen sin mayor contratiempo.

Obtención del resultado del Nivel de Riesgo

Descripción de los niveles de riesgo

Obtención del resultado del Nivel de Madurez

Descripción de los niveles de madurez:

El Auditor traslada a estos indicadores en un enunciado de aplicabilidad en donde llevará a cabo la calificación de los mismos de acuerdo a los criterios cuantitativos establecidos en el Estándar Neozelandés ANZS 4360, ISO 31:000-2009 e ISO 31010:2009, a nivel micro y macro, por ejemplo:

A nivel Micro el Proceso A Posee un control uno que tiene un nivel de Cumplimiento y efectividad del 10 y 15% respectivamente denominado Incumplimiento Alto, este control mitiga a un nivel de Riesgo 4 Extremo y posee un nivel de madurez de 0 No existe, es decir dicho proceso opera en condiciones inaceptables.

A nivel Micro el Proceso B Posee un control dos que tiene un nivel de Cumplimiento y efectividad del 20 y 30% respectivamente denominado Incumplimiento Alto, este control mitiga a un nivel de Riesgo 3 Alto y posee un nivel de madurez de 1 Inicial, es decir dentro del Proceso B se deben de tomar medidas correctivas con carácter de urgencia.

A nivel Macro dentro del Proceso A y B se han encontrado dos debilidades poseen en su conjunto 2 controles que en promedio poseen un nivel de cumplimiento y efectividad del 15 y 22.5% respectivamente además dichos controles mitigan a niveles de riesgo 4 Extremo y poseen un nivel de madurez inicial, es decir dichos procesos operan en condiciones inaceptables y hay que tomar medidas urgentes para solucionar las debilidades encontradas. Estos mismos resultados serán procesados en histogramas de frecuencia y diagramas radar para establecer las comparaciones pertinentes. Por ejemplo en el siguiente histograma de frecuencia se refleja el análisis del nivel de cumplimiento y efectividad de los controles a nivel micro.

Así mismo en el Siguiente diagrama radar reflejamos a que nivel de riesgo mitigan tales controles y cuál es su nivel de madurez, en función a los resultados trabajados en el enunciado de aplicabilidad:

Cuando hacemos la explicación Macro / promedio dentro de los gráficos se registra la cantidad promedio obtenida por los controles y se llevan a cabo las evaluaciones pertinentes.

Conocidos los resultados de estos indicadores determinaremos:

• El Nivel de Cumplimiento y Efectividad de parte de la Entidad del INTA PG 22 y Directiva 002-2008/CETICOS PAITA "Directiva de Procedimientos de Ingreso y Salida de Mercancías para Almacenes de Ceticos Paita"

• Nivel de Cumplimiento y Efectividad de parte de la Entidad de la Directiva 001-2008/CETICOS PAITA "Directiva de Procedimientos de Ingreso y Salida de Mercancías para Talleres de Ceticos Paita"

• Nivel de Cumplimiento y Efectividad de parte de la Entidad de la Directiva 003-2008/CETICOS PAITA "Directiva de Procedimientos de Ingreso y Salida de la Actividad de Industrias de Ceticos Paita"

• Mejoras en el comportamiento de los controles evaluados.

• Mejoras en aspectos de gestión gubernamental.

2.3.8 Gestión Gubernamental

2.3.8.1 Indicadores para determinar la Adecuada Administración y Control del Sistema de Control Interno de la Entidad

2.3.8.1.1 Indicadores Cualitativos

2.3.8.1.1.1 Filosofía de la Dirección

Interpretando a Robert R Moeller en su obra Coso Enterprise Risk Management / Gestión de Riesgos Coporativos (2007), refiere: "La filosofía y estilo de la Dirección comprende la conducta y actitudes que deben caracterizar a la gestión de la entidad con respecto del control interno. Debe tender a establecer un ambiente de confianza positivo y de apoyo hacia el control interno, por medio de una actitud abierta hacia el aprendizaje y las innovaciones, la transparencia en la toma de decisiones, una conducta orientada hacia los valores y la ética, así como una clara determinación hacia la medición objetiva del desempeño, entre otros". Al respecto: "He llegado a la conclusión que dentro de una gestión gubernamental transparente la filosofía de la Dirección que instauran los ejecutivos de las organizaciones consiste exclusivamente en formular normas y o políticas en donde se comprometen a instaurar sistemas y controles para proteger los recursos y activos de información del negocio y en lo posible mejorar cada cierto tiempo dichos controles y sistemas con la implementación de recomendaciones provenientes de los informes de auditoría interna, externa y hasta las mismas recomendaciones preventivas y correctivas claramente marcadas y definidas en las revisiones de gerencia general".

2.3.8.1.1.2 Gestión Integral de Riesgos

Interpretando a Gumersindo Ruiz y José Ignacio Jiménez y Juan José Pirámide Torres. En su obra La Gestión del Riesgo Financiero (2000), refieren: "El componente evaluación de riesgos abarca el proceso de identificación y análisis de los riesgos a los que está expuesta la entidad para el logro de sus objetivos y la elaboración de una respuesta apropiada a los mismos. La evaluación de riesgos es parte del proceso de administración de riesgos, e incluye: planeamiento, identificación, valoración o análisis, manejo o respuesta y el monitoreo de los riesgos de la entidad. Al igual que ellos concluyo: "Que La Gestión Integral de Riesgos radica fundamentalmente en como las organizaciones, definen la metodología que van a implantar a nivel organizacional para: a) Planear el riesgo: En donde se documenta la estrategia para afrontar los riesgos, b) Identificar el riesgo: En donde se identifican los riesgos potenciales que pueden poner en peligro la continuidad del negocio, c) Valorar el Riesgo: En donde se califica el riesgo en función a la probabilidad e impacto que puede ocasionar a la organización y d) mitigar el riesgo: En donde la organización como política sana instaura los controles riesgos que serán capaces de mitigar los riesgos identificados por la organización".

Interpretando a David L Olson y Deshen Dash Wu, En su obra Enterprise Risk Management / Gestión de Riesgos Corporativos (2008). Refieren: "La administración de riesgos debe formar parte de la cultura de una entidad. Debe estar incorporada en la filosofía, prácticas y procesos de negocio de la entidad, más que ser vista o practicada como una actividad separada. Cuando esto se logra, todos en la entidad pasan a estar involucrados en la administración de riesgos". Al igual que ellos concluyo: "Que la gestión integral de riesgos consiste en como la empresa y administra los riesgos estratégicos, financieros, tecnológicos, de seguridad industrial y medio ambiente y los mitiga con la instauración de controles óptimos con la finalidad de que estos eventos no puedan poner en peligro la continuidad del negocio. Para lo cual todos y cada uno de los actores organizacionales deben de tomar conciencia de la importancia, probabilidad e impacto de tales riesgos y ver la consecuencia de estos sucesos al no instaurar dichos actores los controles que le fueron proporcionados por la entidad para mitigar tales eventos".

2.3.8.1.1.3 Actividades de Control Gerencial

Interpretando a Rodrigo Estupiñan Gaitán en su obra Control Interno y Fraudes con Base en los Ciclos Transaccionales. Informe Coso I y Coso II (2006), Refiere: "El componente actividades de control gerencial comprende políticas y procedimientos establecidos para asegurar que se están llevando a cabo las acciones necesarias en la administración de los riesgos que pueden afectar los objetivos de la entidad, contribuyendo a asegurar el cumplimiento de estos". Al respecto llego a concluir que: "Las actividades de control gerencial son el conjunto de Actividades que se desarrollan en la empresa bajo el cumplimiento de ciertas políticas y estándares que deben de tener en cuenta los actores organizacionales para la buena marcha de procesos operativos, la confiabilidad de la información financiera, adecuado manejo de la tecnología de la información y calidad y suficiencia de la información que maneja la organización".

2.3.8.1.1.4 Información y Comunicación

Según Bellalah, Mondher; Prigent, Jean ; Sahut, Jean ; Pariente, Georges; Levyne, Olivier , en su obra: Risk Management And Value / Gestion de Riesgos y Valor ( 2008), refieren: "Se entiende por el componente de información y comunicación, los métodos, procesos, canales, medios y acciones que, con enfoque sistémico y regular, aseguren el flujo de información en todas las direcciones con calidad y oportunidad. Esto permite cumplir con las responsabilidades individuales y grupales. Al respecto llegó a concluir: "Que en este proceso se transmite información apropiada, de calidad y oportuna a los niveles directivos, así como a los interesados externos tales como: clientes, socios, supervisores, reguladores entre otros".

2.3.8.1.1.5 Supervisión y Autoevaluación