Por qué es hora de retirar los IPE: un enfoque más inteligente para SOX

La información producida por la Entidad, comúnmente conocida como IPE, ha sido la piedra angular de las pruebas de cumplimiento SOX durante años. Si bien el concepto detrás de IPE sigue siendo sólido, la forma en que la mayoría de las organizaciones lo gestionan se ha convertido en una fuente importante de ineficiencia. Quizás haya llegado el momento de repensar el enfoque por completo.

¿Qué es el EPI?

IPE se refiere a cualquier informe, extracto de datos o resultado generado por los propios sistemas de la empresa que se utiliza como evidencia en las pruebas de control interno. Cuando un auditor se basa en un informe de antigüedad para probar un control de cuentas por cobrar, ese informe de antigüedad es IPE. Cuando la administración utiliza una lista de asientos de diario generada por el sistema para probar la segregación de funciones, esa lista es IPE.

El principio es sencillo: si utiliza datos generados por la empresa para probar un control, debe verificar que los datos en sí sean precisos y completos. De lo contrario, toda la conclusión de la prueba se basará en una base no validada.

El problema con las prácticas actuales de EIP

En teoría, la validación del IPE es una salvaguardia razonable. En la práctica, se ha convertido en uno de los aspectos más gravosos y menos valiosos del cumplimiento de SOX.

La mayoría de las organizaciones validan el IPE realizando comprobaciones de integridad y precisión de cada informe utilizado en las pruebas de control. Esto a menudo significa volver a ejecutar informes, vincular los totales a los sistemas de origen y documentar la validación en papeles de trabajo separados. Para las organizaciones con cientos de controles, cada uno de los cuales depende de múltiples informes, el volumen de trabajo de validación del IPE es enorme.

El esfuerzo se ve agravado por el hecho de que muchos de estos informes son generados por los mismos sistemas, utilizando los mismos datos, de forma recurrente. Sin embargo, los equipos suelen validar cada instancia de forma independiente, incluso cuando la fuente de datos subyacente no ha cambiado.

Por qué el enfoque tradicional se queda corto

Esfuerzo redundante. Los equipos frecuentemente validan la misma salida del sistema varias veces en diferentes controles. Un balance de comprobación generado por un ERP puede validarse por separado para pruebas de ingresos, pruebas de gastos y revisión del balance, a pesar de ser el mismo informe del mismo sistema.

Sobrecarga de documentación. Cada validación de IPE requiere su propia documentación, creando un rastro en papel que agrega volumen sin valor proporcional. Los auditores dedican más tiempo a documentar la validación que a realizarla.

Falsa sensación de seguridad. Verificar que el total de un informe coincida con el total del sistema confirma que el informe se generó correctamente. No aborda si los datos subyacentes en el sistema son precisos. La validación prueba el informe, no los datos.

Drenaje de recursos. La validación de IPE consume horas de auditoría que podrían destinarse a áreas de mayor riesgo. Cuando los equipos se ven presionados durante la temporada alta, esta mala asignación de esfuerzos tiene consecuencias reales.

Una alternativa más inteligente

En lugar de validar instancias de informes individuales, las organizaciones deberían considerar un enfoque a nivel de sistema. Esto significa generar confianza en los sistemas que producen informes, en lugar de probar cada resultado por separado.

Los controles generales de TI (ITGC) ya abordan la integridad de los datos generados por el sistema. Cuando los ITGC sobre una aplicación en particular son efectivos, existe una seguridad razonable de que los informes generados por esa aplicación son confiables. Fortalecer el vínculo entre las pruebas del ITGC y la dependencia del IPE puede reducir significativamente la duplicación de trabajo.

Las conciliaciones automatizadas pueden reemplazar las verificaciones manuales de IPE. Cuando los flujos de datos se concilian automáticamente entre sistemas, disminuye la necesidad de validación IPE en un momento dado. La reconciliación en sí misma proporciona una garantía continua.

Las fuentes de datos estandarizadas reducen la cantidad de artículos de EPI únicos que requieren validación. Si todos los controles dentro de un proceso dependen del mismo extracto de datos, valide el extracto una vez en lugar de hacerlo por separado para cada control.

Qué significa esto para los equipos de auditoría

Retirar el enfoque tradicional de EIP no significa abandonar la validación de datos. Significa ser estratégico sobre dónde y cómo se aplica el esfuerzo de validación. Céntrese en los sistemas y flujos de datos que plantean el mayor riesgo. Aproveche los ITGC y los controles automatizados para brindar garantía sobre los resultados del sistema.

Las herramientas de auditoría modernas pueden respaldar esta transición manteniendo vínculos directos entre los datos de origen y los documentos de trabajo, lo que reduce la necesidad de validación manual. Plataformas como Blast Audit, que extraen y comparan datos dentro de Excel, crean conexiones rastreables entre evidencia y conclusiones que reducen la dependencia de la documentación IPE independiente.

El objetivo es redirigir el esfuerzo de la documentación de bajo valor hacia análisis de mayor valor, haciendo en última instancia que el proceso de cumplimiento de SOX sea más eficiente y efectivo.