Controles de un Proceso General de Compras

BIBLIOTECA DE CONTROLES
PROCESO GENERAL DE COMPRAS
Esta herramienta le permitirá identificar controles preventivos y detectivos de naturaleza manual y dependientes de tecnología considerados en un
proceso general de compras. Las aplicaciones de estos controles de buena práctica en las organizaciones permitirán mitigar y/o disminuir la
probabilidad de materialización del riesgo inherente identificado en cada subproceso.
Un control debe estar adecuadamente definido, estructurado y alineado a las actividades de cada uno de los subprocesos. El auditor debe tener la
capacidad de identificar los controles claves de los procesos para evaluar su aplicación y efectividad.
Cabe resaltar que la descripción y/o estructuración de un control debe considerar como mínimo los siguientes elementos:
1.
2.
3.
4.
5.
6.
7.
Objetivo del control.
Responsable de su ejecución, revisión y aprobación.
Periodicidad y/o frecuencia de la aplicación del control.
Identificar si es un control manual o dependiente de tecnología.
Identificar si es un control preventivo, detectivo o correctivo.
Documentación soporte y/o respaldo tecnológico que evidencie la ejecución del control.
El control debe estar definido y documentado en los procedimientos internos de la compañía.
SUBPROCESO
Solicitud del
servicio / Compra
RIESGO
Compras o servicios sin
partida presupuestal, por
falta de monitoreo periódico
e independiente de la
ejecución presupuestal.
CONTROL
Responsable: Coordinador de compras / Gerencia financiera
Control: Anualmente se define y aprueba el presupuesto financiero
para cada una de las áreas detallando los rubros de gastos. El
responsable de cada área crea en el sistema de información la solicitud
de servicio/ compra con el detalle de la compra y valida que tenga
partida presupuestal, esta validación es corroborada por el área de
compras.
Periodicidad: Anual / cuando se solicite una compra.
Evidencia: Presupuesto financiero asignado a cada área, aprobado
por la gerencia financiera y gerencia general, el cual como buena
práctica debe estar parametrizado en el sistema de información.
www.auditool.org
NATURALEZA
Manual y/o
dependiente
de tecnología
SUBPROCESO
RIESGO
Fraude por solicitudes de
compra o servicio no
requeridas y/o sin
aprobación.
Compras o servicios sin
autorización requerida para
su solicitud, por falta de
definición de una matriz de
autorizaciones.
Compras o servicios
solicitados por cada área sin
una estandarización de
actividades, por ausencia de
una definición de políticas y
procedimientos definidos por
la administración.
CONTROL
La validación del presupuesto debe evidenciarse en la solicitud de
servicio/ compra.
NATURALEZA
Responsable: Coordinador de compras
Control: El responsable de cada área envía la solicitud de
servicio/compra al área de compras con las especificaciones de la
necesidad (financieras, técnicas y cantidad), compras valida que la
solicitud este aprobada por el responsable del área de acuerdo a la
matriz de aprobaciones. Si el proceso esta parametrizado el sistema
debe validar los fondos de la partida presupuestal rechazando la
solicitud o habilitando para la aprobación del responsable del área.
*Cómo buena práctica la gestión de compras de la compañía debe estar
centralizada.
Manual y/o
dependiente
de IT
Periodicidad: Cuando se requiera
Evidencia: La solicitud de compra/ servicio manual o automática
debe tener la identificación del Workflow de aprobaciones indicando
nombre, cargo y área del autorizador.
Responsable: Gerencia de compras y áreas solicitantes
Accesos no autorizados o
incorrectos al sistema de
información para crear
solicitudes de compras/
servicios
Modificación de información
crítica en la solicitud de
servicios o compras
(unidades, producto) por
funcionarios sin
autorización.
www.auditool.org
Control: Verificar periódicamente los accesos a transacciones que
permitan crear solicitudes de compra/servicios, así como modificar
información crítica (unidades, producto, otros) y los perfiles de
autorización que no correspondan a la matriz de aprobaciones, para
solicitar por medio de documento formal (acta o carta) al área de
tecnología retirar accesos a funcionarios no autorizados.
El sistema de información debe tener activo el log de auditoria que
permita la trazabilidad de las transacciones, fecha y el usuario.
Periodicidad: Trimestral o semestralmente.
Tecnológicos
SUBPROCESO
RIESGO
CONTROL
Evidencia: Documento formal (acta o carta) al área de tecnología
retirar accesos a funcionarios no autorizados.
NATURALEZA
Log de auditoria del sistema de información
Responsable: Gerencia de compras
Compras con costos
superiores a los establecidos
en el mercado.
Control: Realizar evaluaciones de mercado para los diferentes tipos
de compras de la compañía, comparando tamaño del proveedor,
producto, calidad, precio, experiencia y disponibilidad/ despacho, con
el objetivo de definir proveedores autorizados para la organización los
cuales permitan negociaciones por volumen y costos competitivos.
Manual
Periodicidad: Anual.
Evidencia: Documento en office de los criterios evaluados y
comparaciones de mercado.
Proveedores autorizados para compras por volumen y compras del
core del negocio, aprobados por la gerencia de compras y gerencia
financiera.
Evaluación y
selección de
proponentes
Favorecimiento a terceros
por servicios o compras no
requeridas y/o sin
aprobación.
Evaluación y selección de
proveedores realizada por
funcionarios con conflicto de
interés no declarado.
Responsable: Gerencia de compras
Control: Notificar los conflictos de interés que se puedan presentar
con proveedores de la compañía.
El proceso de compras debe estar segregado de las actividades de
creación y/o parametrización de usuarios en el sistema, recepción de
facturas de proveedores, contabilidad, tesorería y almacén.
Periodicidad: Semestral y cuando se requiera.
Evidencia: Documento de conflicto de interés firmado por los
responsables del proceso de compras.
www.auditool.org
Manual
SUBPROCESO
RIESGO
Evaluación y selección de
proveedores sin un
procedimiento y criterios
estandarizados.
CONTROL
NATURALEZA
Responsable: Gerencia de compras
Control: Definir lineamientos en políticas y procedimientos para la
evaluación y selección de proveedores, que consideren como mínimo:
-
-
-
-
Tipo de compra o servicio, determinando si impacta la operación
del negocio (estratégica), es un producto único, cumplimiento
normativo, entre otros.
Valor de la compra o servicio.
Cantidad de proponentes requeridos de acuerdo al tipo de compra
y valor.
Documento soporte de la evaluación de los proveedores (RUT,
estados financieros, verificación de lavado de activos, entre otros)
y de evaluación de cotizaciones que considere criterios de
evaluación, ponderación de la calificación, cuadro comparativo,
criterios cualitativos, firma del responsable de la evaluación y
aprobación.
Niveles autorizados para la aprobación de compras y servicios de
acuerdo al tipo y valor de la compra o servicio, definición del
comité de compra.
Validar si el proveedor cuenta con más contratos y/o servicios en
la organización que en conjunto determinan que el monto de
contratación acumulada requiere aprobaciones de un nivel
superior.
Manual
Periodicidad: Anual y cuando se requiera
Evidencia: Documento físico o publicado en la intranet de la
compañía para su divulgación. La política debe ser aprobada por la
Junta Directiva y el procedimiento por la Gerencia de compras.
Favorecimiento a terceros
por ausencia de un proceso
de evaluación y selección
www.auditool.org
Responsable: Coordinador de compras
Manual
SUBPROCESO
RIESGO
Compras y servicios sin
precios, experiencia y calidad
competitiva.
Fraude por compras a
proveedores ficticios y/o no
autorizados
CONTROL
Control: De acuerdo a la solicitud de compra/servicios el área de
compras solicita a los proveedores las cotizaciones requeridas y/o
notifica los términos de referencia de acuerdo a la política de compras,
valida la información del proveedor (RUT, Estados financieros,
antecedentes legales, Lavado de activos y financiación al terrorismo,
cumplimientos de seguridad social y parafiscales), compara los
criterios de evaluación, solicita acompañamiento del área técnica si se
requiere y selecciona la mejor opción la cual es aprobada de acuerdo a
la matriz de autorizaciones.
NATURALEZA
Periodicidad: Cuando se requiera
Evidencia: Formato de evaluación del proveedor y calificación de
criterios, aprobado por el nivel autorizado y/o comité de compra.
Formalización
contractual
Responsable: Gerencia de compras / área legal
Negociaciones comerciales
sin un respaldo legal y/o
formalización contractual por
ausencia de la definición de
políticas y procedimientos.
Control: De acuerdo al tipo de compra/servicio y costo, definir
políticas e contratación que establezcan el documento contractual para
las negociaciones (orden de compra, contrato, oferta, acuerdos de
niveles de servicio, entre otros) y constitución de garantías.
El área legal validará la estructura de los documentos contractuales
definidos, verificando que consideren la totalidad de las cláusulas
legales que protejan a la compañía frente a riesgos legales, laborales y
contractuales.
Manual
Periodicidad: Anual y mensual
Evidencia: Política en documento físico o publicado en la intranet de
la compañía para su divulgación. La política debe ser aprobada por la
Junta Directiva y el procedimiento por la Gerencia de compras y legal.
Imposibilidad de
reclamaciones contractuales,
por ausencia de un contrato o
documento formal de las
www.auditool.org
Responsable: Gerencia de compras / área legal
Manual
Control: Formalizar con los proveedores seleccionados los contratos
de servicio/compra, orden de compra y acuerdos de niveles de servicio
SUBPROCESO
RIESGO
negociaciones y/o por falta
de cláusulas de
responsabilidad
CONTROL
los cuales consideren el detalle de las responsabilidades, garantías e
indicadores de medición de calidad y cumplimiento y custodiar la
información en los archivos del proveedor.
Incumplimientos del servicio
por parte del proveedor, por
ausencia de acuerdos de
niveles de servicio e
indicadores de cumplimiento
para evaluarlo.
Periodicidad: cuando se requiera
NATURALEZA
Evidencia: Contratos, ordenes de servicio y acuerdos de niveles de
servicio firmados por las partes y validados por jurídica. Esta
documentación debe ser custodiada en la carpeta física o virtual del
proveedor.
Imposibilidad de
reclamación a proveedores,
por compras realizadas con
órdenes de compra y de
servicios sin la consideración
de condiciones contractuales
mínimas requeridas.
Accesos inadecuados en el
sistema de información para
crear, modificar y eliminar
terceros.
Administración
de terceros
Divulgación de información
confidencial de terceros sin
autorización e
incumplimiento normativo.
Responsable: Gerencia de administración de terceros.
Control: Verificar periódicamente los accesos a transacciones que
permitan crear, modificar, eliminar proveedores y visualizar
información confidencial de la data de proveedores y solicitar por
medio de documento formal (acta o carta) al área de tecnología retirar
accesos a funcionarios no autorizados.
La compañía debe contar con un área centralizada para la
administración de las bases de datos de terceros de la compañía.
El área encargada de crear, modificar y eliminar proveedores en el
sistema de información, debe ser independiente a las áreas encargadas
de evaluar y seleccionar proveedores, contabilidad y tesorería.
El sistema de información debe tener activo el log de auditoria que
permita la trazabilidad de las transacciones, fecha y el usuario.
Periodicidad: Trimestral o semestralmente.
www.auditool.org
Tecnológico
SUBPROCESO
RIESGO
CONTROL
NATURALEZA
Evidencia: Documento formal (acta o carta) al área de tecnología
retirar accesos a funcionarios no autorizados.
Log de auditoria del sistema de información
Terceros creados en la base
de información sin la
totalidad de la
documentación requerida
y/o desactualizada.
Creación de proveedores
ficticios y/o modificaciones
de proveedores no
autorizadas.
Responsable: Gerencia de administración de terceros.
Control: Establecer políticas y procedimientos para la creación,
modificación e inactivación de los proveedores y prestadores de
servicio, considerando:
- Documentación general a solicitar al proveedor. (Rut, Cámara
de comercio, certificación de pagos de seguridad social, cédula
de representante legal, etc.)
- Formato de solicitud de creación de proveedores, autorizado
por el área de compras de acuerdo al proceso de evaluación y
selección.
- Cuentas bancarias autorizadas para realizar pagos a
proveedores, soportada con certificación bancaria original.
- Repositorio de documentación de proveedores.
Manual
Periodicidad: Anual o cuando se requiera
Evidencia: Política en documento físico o publicado en la intranet de
la compañía para su divulgación. La política debe ser aprobada por la
Junta Directiva y el procedimiento por la Gerencia de compras.
Responsable: Gerencia de administración de terceros.
Control: El área responsable de la creación de terceros recibe la
solicitud de creación de proveedores del área de compras debidamente
autorizada, para su parametrización en el sistema de información.
www.auditool.org
Manual y/o
dependiente
de IT
SUBPROCESO
RIESGO
CONTROL
El funcionario debe asegurarse de parametrizar su perfil tributario de
acuerdo a los documentos soportes y los criterios comerciales (plazo de
pago, modalidad de pago, cuenta bancaria, entre otros).
NATURALEZA
Periodicidad: Cuando se requiera
Evidencia: Solicitud de creación de proveedores autorizada por el
área de compras y parametrización en el sistema de información.
Responsable: Gerencia de compras y administración de terceros.
Uso inadecuado de terceros
por proveedores
desactualizados.
Reputacional por
negociaciones con
proveedores en listas
restrictivas.
Control: El área de compras verifica periódicamente los proveedores
que no presentan movimiento con más de dos años de antigüedad y
solicita al área de administración de terceros su inactivación.
El oficial de cumplimiento de la compañía verifica mensualmente el
estado de los proveedores en listas restrictivas, solicitando al área de
administración de proveedores la inactivación o bloqueo de
proveedores.
Manual y
dependiente
de IT
Periodicidad: Cuando se requiera /trimestral /mensual
Evidencia: Solicitud de inactivación de proveedores autorizada por el
área de compras y el Oficial de cumplimiento.
Soportes de la debida diligencia de verificación en listas restrictivas.
Emisión de orden
de compra o
servicio
www.auditool.org
Fraude por compras no
requeridas y sin autorización.
Responsable: Coordinador de compras
Accesos no autorizados para
la creación, modificación y
eliminación de órdenes de
compra/servicios
Control: El área de compras crea la orden de compra en el sistema de
información, el cual requiere de la solicitud de compra/servicio
aprobada y alimenta la información a la orden de compra de manera
automática.
Dependiente
de Tecnología
SUBPROCESO
RIESGO
CONTROL
Las órdenes de compra no deben ser creadas por funcionarios del área
de compras, tesorería, contabilidad y administración de terceros.
NATURALEZA
La orden de compra debe ser autorizada por el responsable del área
que solicitó la compra/servicio, para autorizar la orden de entrada,
estos documentos deben tener un número consecutivo generado
automáticamente por el sistema de información.
Periodicidad: Cuando se requiera
Evidencia: Consecutivo en las órdenes de compra y orden de entrada
y workflow de aprobaciones.
Responsable: Gerencia de compras
Control: Verificar periódicamente los accesos a transacciones que
permitan crear, modificar, eliminar órdenes de compra y ordenes de
entrada, así como aprobar la aceptación del servicio y solicitar por
medio de documento formal (acta o carta) al área de tecnología retirar
accesos a funcionarios no autorizados.
El sistema de información debe tener activo el log de auditoria que
permita la trazabilidad de las transacciones, fecha y el usuario.
Tecnológico
Periodicidad: Trimestral o semestralmente.
Evidencia: Documento formal (acta o carta) al área de tecnología
retirar accesos a funcionarios no autorizados.
Log de auditoria del sistema de información
Fraude por uso inadecuado
de órdenes de compra sin
depurar.
Responsable: Gerencia de compras
Control: Verificar periódicamente las solicitudes de
compra/servicios y órdenes de compra no gestionadas, sin trámite de
compra y anularlas con documento soporte justificado.
Periodicidad: Trimestral o semestralmente.
www.auditool.org
Manual y
dependiente
de tecnología
SUBPROCESO
RIESGO
CONTROL
NATURALEZA
Evidencia: Documento de office de análisis del estado de órdenes de
compra y justificación de órdenes creadas y no gestionadas para ser
eliminadas del sistema de información, este documento debe ser
autorizado por el gerente del área de compras.
Aprobación del
servicio y compra
Pago de servicios y/o
compras a proveedores no
procedentes, por compras no
recibidas a satisfacción o no
autorizadas.
Aceptación de servicios y
compras en el sistema de
información por funcionarios
no autorizados
Responsable: Áreas de la organización que solicitaron la
compra/servicio
Control: Aceptar o no el servicio/compra en el sistema de
información por parte del área responsable de la recepción y
validación de calidad del servicio o la compra en la orden de entrada
para habilitar la aceptación y causación de la factura del proveedor.
Cuando no se acepta a conformidad la recepción del servicio/compra,
el responsable del área debe documentar las justificaciones y/u
observaciones en la orden de entrada.
El responsable de la aceptación del servicio debe solicitar al proveedor
las garantías de calidad del servicio e informes definidos en el contrato,
orden de compra o acuerdos de niveles de servicio.
Manual y
dependiente
de tecnología
Periodicidad: Cuando se requiera.
Evidencia: Aprobación o negación de la satisfacción del
servicio/compra recibida en la orden de entrada e informes del servicio
entregados por el proveedor.
Recepción,
autorización y
causación de la
factura del
proveedor
Inoportunidad e
incumplimiento de pago a
proveedores, por procesos
descentralizados y sin
trazabilidad para la recepción
de facturación.
Información financiera no
confiable por causación
www.auditool.org
Responsable: Área de radicación de facturación
Control: La compañía debe definir un área centralizada para la
recepción de facturación, la cual valide la completitud de la
documentación soporte, registre la fecha de recepción, proveedor,
numero de factura, valor, concepto, entre otros, en un repositorio
manual o tecnológico que permita la trazabilidad del documento.
Manual y/o
dependiente
de tecnología
SUBPROCESO
RIESGO
inoportuna de la factura del
proveedor, en periodos
diferentes a la fecha de
compra.
CONTROL
Esta área debe entregar la documentación al área de contabilidad para
su causación.
NATURALEZA
Periodicidad: Cuando se requiera.
Evidencia: Registro de la facturación recibida con el detalle de
información y trazabilidad de entrega al área de contabilidad.
Pagos a proveedores por
servicios no autorizados y sin
satisfacción de su recepción.
Responsable: Coordinador de contabilidad
Mayores y menores valores
cancelados a proveedores.
Control: El coordinador de contabilidad registra en el sistema de
información la factura del proveedor, asociando la orden de compra y
orden de entrada y validando los impuestos tributarios causados.
Accesos no autorizados para
la creación, modificación y
eliminación facturas de
compra.
El sistema de información debe validar que exista una orden de
compra/ servicio y orden de entrada aprobada previamente por la
aceptación del servicio para permitir el registro de la factura.
Registro duplicado de
facturas por ausencia de
controles que permitan la
trazabilidad de las facturas y
notas causadas en el sistema
de información.
Las facturas de compra no deben ser creadas por funcionarios del área
de compras, tesorería y administración de terceros.
Dependiente
de Tecnología
El sistema de información no debe permitir modificar la información
base de la orden de entrada que alimenta la facturación (cantidad,
valor unitario, producto, proveedor, Nit), los ajustes se deben registrar
con notas débito o crédito autorizadas.
Periodicidad: Cuando se requiera
Evidencia: parametrización de controles automáticos del sistema de
información.
Responsable: Gerencia de contabilidad
Control: Verificar periódicamente los accesos a transacciones que
permitan crear, modificar y eliminar facturas de compra, notas débito
y notas crédito y solicitar por medio de documento formal (acta o
www.auditool.org
Tecnológico
SUBPROCESO
RIESGO
CONTROL
carta) al área de tecnología retirar accesos a funcionarios no
autorizados.
NATURALEZA
El sistema de información debe tener activo el log de auditoria que
permita la trazabilidad de las transacciones, fecha y el usuario.
Periodicidad: Trimestral o semestralmente.
Evidencia: Documento formal (acta o carta) al área de tecnología
retirar accesos a funcionarios no autorizados.
Log de auditoria del sistema de información
Responsable: Áreas de la compañía
Control: El área responsable de la recepción del servicio/compra
debe evaluar al proveedor contratado, considerando como mínimo:
Contrataciones recurrentes
con proveedores sin
cumplimiento de calidad y
servicios requeridos
Evaluación de
proveedores
Indicadores de
gestión del área
de compras
www.auditool.org
Interrupción de procesos
críticos de la organización
por incumplimiento del
servicio y/o entrega del
producto por parte del
proveedor
Pérdidas económicas e
interrupción de la operación
por inoportunidad en la
contratación de proveedores
y prestadores de servicios.
-
Cumplimiento del servicio/compra
Calidad
Garantía del servicio/compra
Estas evaluaciones deben ser suministradas al área de compras para
realizar el tratamiento correspondiente con el proveedor (inhabilitar o
resaltar su calidad y servicio para próximas contrataciones).
Manual y/o
dependiente
de tecnología
Periodicidad: Cuando el proveedor entregue el bien o finalice el
servicio.
Evidencia: Evaluación del proveedor física o en el sistema de
información, aprobada por el área responsable de la solicitud y
recepción del servicio.
Responsable: Gerencia general / Gestión de calidad
Manual
Control: La gerencia general define indicadores de gestión a cada
una de las áreas de la organización de acuerdo a los objetivos
SUBPROCESO
RIESGO
CONTROL
estratégicos de la compañía, los cuales deben ser medidos para definir
acciones de mejoramiento.
El área de compras debe considerar como mínimo indicadores
relacionados con oportunidad en la contratación, ahorros financieros,
volumen de solicitudes atendidas y calidad del proveedor.
Periodicidad: Anual
Evidencia: Evaluación de los indicadores de gestión y
definición de acciones de mejoramiento.
www.auditool.org
NATURALEZA