Preparación para auditorías de gastos: la guía completa

¿Estará listo su sistema de gestión de gastos cuando los auditores llamen a su puerta? Para la mayoría de las organizaciones, la respuesta a esta pregunta es un inquieto "probablemente". La preparación para auditorías no ocurre de la noche a la mañana. Requiere procesos sistemáticos, documentación exhaustiva y tecnología que registre cada transacción y decisión de su flujo de trabajo de gastos.

Esta guía cubre todo lo que necesita saber para lograr y mantener la preparación para auditorías de gastos. Ya sea que se esté preparando para una auditoría interna o una auditoría financiera externa, o trabajando para obtener la certificación SOC 2 o ISO 27001, los principios y prácticas descritos aquí le ayudarán a construir un proceso de gestión de gastos listo para auditorías en todo momento.

Comprender los requisitos del registro de auditoría

El registro de auditoría es la piedra angular de la preparación para auditorías de gastos. Crea un registro cronológico de cada transacción en su sistema de gestión de gastos, desde el momento en que se produce el gasto hasta su conciliación final en el libro mayor.

Lo que debe registrar un registro de auditoría completo

Un registro de auditoría de gastos sólido debe registrar los siguientes elementos para cada transacción:

• Origen de la transacción: cuándo y dónde se produjo el gasto; nombre del proveedor, ubicación, fecha y hora.
• Detalles del envío: cuándo se envió el gasto, por quién y a través de qué canal (móvil, web, correo electrónico, flujo de tarjeta corporativa).
• Documentos de respaldo: recibos originales, facturas y documentos complementarios adjuntos al gasto.
• Cadena de aprobación: cada acción de aprobación, incluidos quién aprobó, cuándo aprobó, los comentarios realizados y la ruta de la jerarquía de aprobación seguida.
• Controles de política: los resultados de la aplicación automatizada de políticas, incluidas las infracciones detectadas, las advertencias emitidas y las excepciones autorizadas.
• Modificaciones: cada cambio realizado en el gasto después del envío inicial; quién realizó el cambio, qué se modificó y los valores anteriores y nuevos.
• Procesamiento del pago: cuándo y cómo se procesó el reembolso; método de pago, referencia del lote y registros contables.
• Acciones del sistema: acciones automáticas realizadas por el sistema, como conversiones de tipo de cambio aplicadas, cálculos de impuestos y evaluaciones de reglas de política.

Inmutabilidad: el requisito innegociable

Los registros de auditoría deben ser inmutables. Una vez creado un registro, no puede modificarse ni eliminarse. Esto no es solo una buena práctica, sino un requisito fundamental del cumplimiento en auditorías. Masraff garantiza la inmutabilidad del registro de auditoría mediante el registro de solo anexado (append-only), la verificación criptográfica y una arquitectura de almacenamiento a prueba de manipulaciones.

Cada registro del registro de auditoría de Masraff contiene un hash criptográfico vinculado al registro anterior, creando una cadena de registros que no puede alterarse sin ser detectada. Este enfoque es similar a la tecnología blockchain, pero está optimizado para los requisitos de rendimiento de la gestión de gastos empresarial.

Firmas digitales e integridad de los documentos

Las firmas digitales desempeñan un papel fundamental en la preparación para auditorías de gastos al proporcionar el no repudio. Son la prueba definitiva de que una persona específica realizó una acción específica en un momento específico.

¿Cómo funcionan las firmas digitales en la gestión de gastos?

• Firmas de envío: cuando un empleado envía un gasto, su identidad se vincula criptográficamente al envío, creando una prueba indiscutible de quién lo envió.
• Firmas de aprobación: la acción de cada aprobador se firma digitalmente, proporcionando una prueba verificable de la cadena de aprobación.
• Verificación de recibos: los recibos cargados reciben una marca de tiempo digital y un hash de integridad, lo que demuestra que no han sido modificados desde su carga.
• Firmas de excepciones de política: cuando un gerente anula una regla de política, su autorización se firma digitalmente con un paso de autenticación reforzado.

Conservación e integridad de los documentos

La preparación para auditorías exige que todos los documentos de respaldo permanezcan accesibles e inalterados durante el período de conservación legalmente establecido. Masraff proporciona:

• Períodos de conservación configurables conforme a los requisitos regulatorios locales (normalmente de 7 a 10 años)
• Verificación automática de integridad con sumas de comprobación SHA-256 en todos los documentos almacenados
• Almacenamiento redundante en centros de datos distribuidos geográficamente
• Una función de retención legal (legal hold) para documentos relacionados con investigaciones o litigios en curso

Segregación de funciones (SoD)

La segregación de funciones es un principio fundamental de control interno que impide que una sola persona tenga autoridad sin supervisión sobre un proceso financiero completo. En la gestión de gastos, la segregación de funciones garantiza que la persona que incurre en un gasto no lo apruebe también, no procese su pago ni realice su conciliación en el libro mayor. Estos controles son una de las formas más eficaces de prevenir el fraude en gastos.

Controles SoD esenciales en la gestión de gastos

• Separación entre remitente y aprobador: un empleado no puede aprobar sus propios informes de gastos. El sistema debe dirigir automáticamente las aprobaciones a otra persona, generalmente el gerente directo del empleado o un aprobador designado.
• Separación entre aprobador y procesador: la persona que aprueba el gasto no debe ser la misma que procesa el reembolso.
• Separación entre configuración y ejecución: la persona que configura las reglas de política y los flujos de aprobación no debe ser la misma que envía o aprueba gastos en el día a día.
• Independencia de la conciliación: la persona que realiza la conciliación de gastos en el libro mayor debe ser independiente de quienes envían y aprueban los gastos.

Implementación de la segregación de funciones en Masraff

Masraff aplica la segregación de funciones a través de su sistema de control de acceso basado en roles (RBAC). La plataforma incluye reglas SoD preconfiguradas que previenen fallos de control comunes:

• Detección y bloqueo automáticos de los intentos de autoaprobación
• Jerarquías de aprobación configurables que imponen la separación organizacional
• Detección de conflictos de roles que alerta a los administradores cuando la combinación de roles de un usuario crea una violación de la SoD
• Controles compensatorios (como requisitos de revisión reforzados) para equipos pequeños donde la separación completa de la SoD no es práctica

Control de acceso basado en roles (RBAC)

El RBAC es el mecanismo mediante el cual las organizaciones controlan quién puede hacer qué en el sistema de gestión de gastos. Un modelo RBAC bien diseñado es indispensable tanto para la seguridad como para la preparación para auditorías.

Roles estándar de la gestión de gastos

• Remitente: puede crear y enviar informes de gastos, ver su propio historial de gastos y adjuntar recibos. No puede aprobar gastos ni acceder a los datos de otros usuarios.
• Aprobador: puede revisar y aprobar/rechazar los informes de gastos de su equipo o centro de costos designado. Puede ver los gastos enviados en la cola de aprobación, pero no modificarlos.
• Gerente financiero: puede configurar políticas, gestionar flujos de aprobación, procesar pagos y generar informes. No puede enviar gastos en nombre de otros sin un registro de auditoría.
• Auditor (solo lectura): puede ver todos los datos de gastos, registros de auditoría e informes, pero no puede modificar ningún dato. Este rol suele asignarse a los equipos de auditoría interna y externa.
• Administrador del sistema: puede gestionar cuentas de usuario, configurar los ajustes del sistema y gestionar integraciones. No puede aprobar gastos ni procesar pagos.

Buenas prácticas de RBAC para la preparación para auditorías

1. Principio de privilegio mínimo: asigne a los usuarios únicamente los permisos mínimos necesarios para su rol.
2. Revisiones de acceso periódicas: realice revisiones de acceso trimestrales para garantizar que los roles sigan siendo apropiados cuando las personas cambien de puesto.
3. Documentación de la asignación de roles: documente por qué se asignó un rol específico a cada usuario, creando un registro para los auditores.
4. Revocación automática de accesos: intégrese con los sistemas de RR. HH. para revocar automáticamente el acceso al sistema de gastos cuando los empleados abandonen la organización.
5. Procedimientos de acceso de emergencia: defina y documente los procedimientos para otorgar acceso elevado temporal en emergencias, incluidos los plazos obligatorios de revisión y revocación.

Seguimiento de excepciones de política

Las excepciones de política son una parte necesaria de todo sistema de gestión de gastos. Las necesidades comerciales legítimas a veces requieren excepciones a las políticas estándar. Sin embargo, las excepciones representan una de las áreas de mayor riesgo para el escrutinio de auditoría y exigen un seguimiento exhaustivo.

Qué rastrear en cada excepción

• Solicitante de la excepción: quién solicitó la excepción y por qué
• Infracción original: qué regla de política se infringió y los detalles específicos
• Justificación comercial: la razón documentada por la que la excepción era necesaria
• Aprobador autorizante: quién aprobó la excepción y su nivel de autoridad
• Marca de tiempo: cuándo se solicitó, aprobó y aplicó la excepción
• Análisis de frecuencia: con qué frecuencia este usuario o departamento solicita excepciones para esta regla específica

Gobernanza de las excepciones

Una gobernanza eficaz de las excepciones incluye:

• Umbrales de escalado: las excepciones por encima de ciertos importes o en ciertas categorías requieren una aprobación de nivel superior.
• Límites de frecuencia: marcado automático cuando una persona o departamento supera un número umbral de excepciones en un período determinado. Los patrones de excepciones recurrentes pueden ser una señal temprana de fraude interno.
• Revisión periódica: revisión mensual de todas las excepciones por parte de la dirección financiera para identificar patrones y brechas en las políticas.
• Análisis de causa raíz: cuando surjan patrones de excepciones, analice si debe ajustarse la política subyacente en lugar de seguir otorgando excepciones.

Gestión de excepciones

La gestión de excepciones va más allá de las excepciones de política individuales y abarca el proceso más amplio de manejo de situaciones no estándar en la gestión de gastos.

Tipos de excepciones

• Recibos faltantes: casos en los que el recibo original se ha perdido o no está disponible. Requiere una declaración firmada de recibo perdido junto con los detalles del gasto.
• Envíos tardíos: gastos presentados después de la fecha límite de envío estándar. Requiere la aprobación del gerente y una razón documentada del retraso.
• Discrepancias de tipo de cambio: cuando el importe convertido se desvía significativamente del rango esperado debido a las fluctuaciones cambiarias.
• Excepciones generadas por el sistema: alertas automáticas del sistema de escaneo de recibos con IA cuando los datos extraídos no coinciden con los datos enviados.
• Excepciones de cumplimiento: casos en los que la normativa local entra en conflicto con la política global, lo que requiere excepciones específicas de la jurisdicción. En Turquía, los gastos no deducibles legalmente son un ejemplo típico.

Construir un marco de gestión de excepciones

1. Clasifique las excepciones por nivel de riesgo: Bajo, Medio, Alto y Crítico. Cada nivel tiene diferentes requisitos de tratamiento y autoridades de aprobación.
2. Defina flujos de resolución: defina los pasos, aprobaciones y documentos específicos requeridos para cada tipo de excepción y nivel de riesgo.
3. Establezca SLA de resolución: defina tiempos máximos de resolución para evitar que las excepciones queden sin resolver.
4. Rastree e informe: supervise los volúmenes, tipos y tiempos de resolución de las excepciones para identificar problemas sistémicos.

Cumplimiento de SOC 2 e ISO 27001

Para las organizaciones que buscan una certificación de seguridad formal, los sistemas de gestión de gastos deben cumplir requisitos de control específicos.

La relación de SOC 2 con la gestión de gastos

El cumplimiento de SOC 2 se organiza en torno a cinco Criterios de Servicios de Confianza:

• Seguridad: controles de acceso, cifrado y seguridad de red que protegen los datos de gastos del acceso no autorizado.
• Disponibilidad: tiempo de actividad del sistema, recuperación ante desastres y continuidad del negocio para los sistemas de procesamiento de gastos.
• Integridad del procesamiento: exactitud e integridad de los cálculos de gastos, las conversiones de divisas y las evaluaciones de políticas.
• Confidencialidad: protección de los datos financieros sensibles, incluida la información bancaria personal utilizada para los reembolsos.
• Privacidad: tratamiento de la información de identificación personal (PII) en los registros de gastos de conformidad con la normativa vigente.

Requisitos de ISO 27001

Controles clave relacionados con la gestión de gastos:

• A.9 Control de acceso: registro de usuarios, aprovisionamiento de accesos, gestión de privilegios y requisitos de autenticación.
• A.10 Criptografía: cifrado de los datos de gastos en reposo y en tránsito, procedimientos de gestión de claves.
• A.12 Seguridad de las operaciones: gestión de cambios, gestión de la capacidad y protección contra software malicioso para los sistemas de gastos.
• A.16 Gestión de incidentes: procedimientos de detección y respuesta ante incidentes de seguridad que afecten a los datos de gastos.
• A.18 Cumplimiento: identificación de los requisitos legales y regulatorios aplicables y evidencias de cumplimiento.

Preparación para auditorías internas

Lista de verificación previa a la auditoría

1. Revise y actualice las políticas de gastos: asegúrese de que todas las políticas estén actualizadas, claramente documentadas y accesibles para los empleados. Nuestra guía de política de gastos puede ayudarle en este paso.
2. Verifique la eficacia de los controles: compruebe que todos los controles automatizados funcionan correctamente.
3. Genere informes de muestra: extraiga informes de gastos de muestra y verifique que existan registros de auditoría completos.
4. Controle el acceso de los usuarios: revise los roles y permisos actuales de los usuarios.
5. Valide los registros de excepciones: revise todas las excepciones de política del período auditado.
6. Pruebe la gestión de excepciones: verifique que los procesos de gestión de excepciones se apliquen de manera coherente.
7. Prepare los análisis: genere informes de tendencias, resúmenes de excepciones y métricas de cumplimiento.

Hallazgos frecuentes de las auditorías internas

• Recibos faltantes o incompletos para gastos por encima del umbral de justificante
• Aprobaciones realizadas por personal no autorizado
• Cuentas de antiguos usuarios con acceso activo
• Reglas de política no actualizadas para reflejar los requisitos comerciales actuales
• Aplicación incoherente de los procedimientos de excepción entre departamentos

Preparación para auditorías externas

Requisitos de documentación

• Documentos de política: políticas de gastos completas y con control de versiones, con fechas de aprobación y firmas.
• Documentación de procesos: descripciones detalladas de los procesos de envío, aprobación, pago y conciliación de gastos.
• Matrices de control: mapeo de riesgos a controles, con evidencias de la eficacia de los controles.
• Registros de acceso al sistema: registros de quién accedió al sistema de gastos, cuándo y qué acciones realizó.
• Registros de gestión de cambios: documentación de los cambios en la configuración del sistema, las políticas o los flujos de trabajo durante el período auditado.

Apoyar a sus auditores externos

1. Proporcione acceso de solo lectura: otorgue a los auditores externos un acceso dedicado de solo lectura al sistema de gastos.
2. Prepare las muestras con antelación: trabaje con los auditores para comprender su metodología de muestreo y tenga listos los registros pertinentes.
3. Designe un enlace: nombre a un miembro del equipo con conocimientos como contacto principal para las consultas de auditoría.
4. Cree un rastreador de hallazgos: documente todos los hallazgos, las respuestas de la dirección y los plazos de corrección.

Preparación continua para auditorías con Masraff

El enfoque más eficaz para la preparación para auditorías es hacerla continua en lugar de periódica. Con Masraff, las organizaciones pueden mantener una preparación permanente para auditorías mediante:

• Paneles de cumplimiento en tiempo real: supervise en tiempo real las tasas de cumplimiento de políticas, los volúmenes de excepciones y la eficacia de los controles.
• Informes de cumplimiento automatizados: programe informes de cumplimiento periódicos que se generen y distribuyan automáticamente a las partes interesadas.
• Supervisión continua de los controles: el sistema prueba automáticamente la eficacia de los controles y alerta a los administradores cuando los controles fallan o se debilitan.
• Exportaciones listas para auditoría: genere paquetes de auditoría completos con un solo clic.
• Análisis de tendencias históricas: haga seguimiento de las tendencias de cumplimiento a lo largo del tiempo para demostrar a los auditores una mejora continua.

Conclusión

La preparación para auditorías de gastos no es un destino, sino una práctica continua. Al implementar registros de auditoría sólidos, firmas digitales, segregación de funciones, controles de acceso basados en roles y una gestión integral de excepciones, puede construir un proceso de gestión de gastos abierto a la auditoría en cualquier momento.

La clave es utilizar tecnología que haga que la preparación para auditorías sea automática en lugar de manual. Cuando su sistema de gestión de gastos registra cada transacción, aplica cada control y genera cada informe automáticamente, la preparación para auditorías se convierte en un resultado natural de las operaciones normales en lugar de una carrera periódica.

¿Listo para lograr una preparación continua para auditorías? Solicite una demo de Masraff para ver cómo nuestro registro de auditoría completo, nuestros controles automatizados y nuestros informes de cumplimiento pueden preparar a su organización para cualquier auditoría.