¿Cómo Redactar Causas y Acciones Correctivas de Auditoría?

La redacción efectiva de las Causas y Acciones Correctivas de Auditoría puede marcar la diferencia entre solucionar un hallazgo o simplemente cerrarlo en el papel.

Introducción

Cuando Auditoría Interna presenta los hallazgos de una revisión, es común recibir respuestas como: “Ya venía así”, “Fue un error humano”, “Se revisará el tema” o “Se solicitará el ajuste”. Aunque estas expresiones pueden aportar algún antecedente, no explican el origen real de la desviación ni establecen una solución que permita prevenir su recurrencia.

La adecuada atención de los hallazgos requiere que las áreas auditadas identifiquen con claridad las causas que los originaron y definan acciones correctivas específicas, medibles y verificables. De lo contrario, el seguimiento puede convertirse en una recopilación de respuestas generales que no reduce los riesgos ni mejora los controles internos.

Por ello, Auditoría Interna debe proporcionar instrucciones claras para el llenado de los campos de causas, compromisos y acciones correctivas, además de establecer criterios mínimos para aceptar o devolver las respuestas recibidas.

¿Por qué es importante identificar correctamente las Causas de los Hallazgos de Auditoría?

Un Hallazgo de Auditoría muestra una desviación, debilidad o incumplimiento; sin embargo, no necesariamente explica por qué ocurrió.

Por ejemplo, identificar una diferencia entre el inventario físico y el saldo registrado en el sistema representa la condición observada, pero no constituye su causa. La diferencia pudo originarse por movimientos no registrados, errores de captura, traspasos pendientes, ajustes sin autorización, fallas de medición o ausencia de conciliaciones periódicas.

Si el área auditada no identifica la causa real, puede implementar una corrección superficial, como ajustar el saldo del sistema, sin resolver el problema que generó la diferencia. Como resultado, la desviación podría volver a presentarse.

Un análisis adecuado debe distinguir entre:

• Condición: Situación identificada por Auditoría.
• Causa Inmediata: Hecho que produjo directamente la desviación.
• Causa Raíz: Deficiencia de fondo que permitió que ocurriera.
• Falla de Detección: Razón por la cual no fue identificada oportunamente.
• Efecto o Riesgo: Consecuencia real o potencial para la organización.

Críterios que debe implementar Auditoría para Gestionar la Documentación Adecuada de las Causas de los Hallazgos

El auditado es responsable de analizar y declarar las causas, pero el auditor debe gestionar, orientar y evaluar el proceso. El auditor no debería definir unilateralmente la causa raíz, porque podría asumir responsabilidades propias de la administración.

1. Describir el Origen del Hallazgo: Se deberá explicar el hecho, omisión o condición que produjo directamente la desviación. La respuesta debe aportar información adicional y no limitarse a repetir el contenido del hallazgo.
2. Identificar la Causa Raíz: Se deberá señalar la razón de fondo que permitió que la situación ocurriera. Para identificarla puede utilizarse la técnica de los 5 porqués, preguntando sucesivamente por qué ocurrió cada situación hasta encontrar una debilidad de proceso, control, supervisión o responsabilidad.
3. Explicar por qué ocurrió: La respuesta deberá considerar las circunstancias que contribuyeron al hallazgo, tales como:
   • Falta de procedimientos.
   • Responsabilidades indefinidas.
   • Segregación de funciones insuficiente.
   • Errores en la configuración del sistema.
   • Falta de capacitación.
   • Supervisión inadecuada.
   • Controles manuales vulnerables.
   • Ausencia de conciliaciones.
   • Incumplimiento de controles existentes.
4. Identificar el Control que Falló: El área deberá especificar si el control:
   • No existía.
   • No estaba documentado.
   • Era insuficiente.
   • No fue ejecutado.
   • Se ejecutó incorrectamente.
   • No fue supervisado.
   • No generó evidencia.
   • Fue evadido o anulado.
   • No estaba configurado adecuadamente en el sistema.
5. Explicar por qué no fue Detectado Oportunamente: Además de identificar por qué ocurrió el problema, la mejor práctica de auditoría es gestionar que se explique por qué los controles de revisión, conciliación, autorización, supervisión o seguimiento no permitieron detectarlo antes de la auditoría.
6. Determinar desde cuándo existe: Se debe señalar la fecha o periodo aproximado en que comenzó la situación. Si no es posible determinarlo al momento de responder, deberá indicarse el periodo que será investigado.
7. Definir el Alcance: La respuesta deberá identificar los procesos, sistemas, operaciones, cuentas, sucursales, almacenes, lotes, registros o periodos que podrían estar afectados. Este análisis permite determinar si se trata de un caso aislado o de una debilidad generalizada.
8. Identificar las Funciones relacionadas: Se deben señalar los puestos responsables de ejecutar, revisar, supervisar o autorizar el control. El objetivo no es buscar culpables, sino identificar las responsabilidades del proceso que deben fortalecerse.
9. Sustentar la Causa con Evidencia: La explicación deberá respaldarse mediante documentos, reportes, transacciones, conciliaciones, entrevistas, registros del sistema o cualquier otra evidencia pertinente. Una afirmación sin sustento deberá considerarse preliminar hasta que pueda comprobarse.
10. Diferenciar Hechos de Suposiciones: Cuando la investigación no haya concluido, la respuesta deberá identificarse como causa preliminar. También deberá señalarse qué actividades se realizarán para confirmar la causa raíz.

Estructura recomendada para redactar una causa

El área auditada puede utilizar la siguiente estructura:

El hallazgo ocurrió porque ____________. La causa raíz fue ____________. El control que no existía, resultó insuficiente o no funcionó fue ____________. La situación no fue detectada oportunamente debido a ____________. El problema se originó aproximadamente en ____________ y afecta a ____________. Esta conclusión se sustenta mediante ____________.

Ejemplos de Respuestas que Auditoría no debería aceptar

Las siguientes expresiones no constituyen una causa raíz por sí solas:

• Ya venia asi.
• Siempre se ha realizado de esa manera.
• Fue un error humano.
• Fue responsabilidad de otra área”.
• La persona responsable ya no trabaja en la empresa.
• No nos dimos cuenta.
• El sistema no lo permite.
• Faltó comunicación.
• Fue un descuido.
• No se recibió capacitación.

Estas respuestas pueden formar parte de los antecedentes, pero deberán complementarse indicando por qué ocurrió la situación, qué control falló, por qué no se detectó y cuál es la evidencia disponible.

Diferencia entre Corrección y Acción Correctiva

Uno de los errores más frecuentes consiste en considerar que corregir la desviación equivale a eliminar su causa.

La Corrección Inmediata atiende el efecto actual del hallazgo. Por ejemplo, registrar un movimiento pendiente, recuperar un documento, corregir un cálculo o ajustar un saldo.

La Acción Correctiva elimina o reduce la causa raíz. Por ejemplo, implementar una conciliación periódica, configurar una validación automática, actualizar el procedimiento o establecer una revisión independiente.

La Acción Preventiva o de Detección fortalece el control para evitar que el problema vuelva a presentarse o para identificarlo oportunamente.

Un plan de acción completo debe considerar estos tres niveles cuando resulten aplicables.

Instrucciones para Documentar Compromisos y Acciones Correctivas

1. Describir la Corrección Inmediata: Se debe indicar qué actividad se realizará para corregir la desviación actual y atender sus efectos.
2. Definir la Acción Correctiva: La acción debe atender directamente la causa raíz identificada. Si existen varias causas, cada una deberá relacionarse con una acción específica.
3. Implementar una Acción Preventiva o de Detección: El área debe determinar qué control permitirá prevenir futuras desviaciones o detectarlas oportunamente.
4. Indicar que Resultado quedará Implementado: No será suficiente señalar que se solicitará, revisará o analizará alguna situación. El compromiso debe precisar qué documento, control, registro, configuración, conciliación o mejora quedará concluido.
5. Definir el Alcance: La acción debe señalar qué procesos, operaciones, sistemas, registros, ubicaciones o periodos serán corregidos.
6. Asignar un Responsable por Puesto: Se debe identificar el puesto propietario de la acción. No es recomendable asignar compromisos de manera general a un departamento, ya que esto dificulta exigir su cumplimiento.
7. Identificar las áreas Participantes: Cuando la implementación requiera la participación de otras áreas, debe señalarse qué función tendrá cada una. La dependencia de terceros no elimina la responsabilidad del propietario del compromiso.
8. Establecer una Fecha Conclusión: Cada acción debe incluir una fecha específica y realista. Cuando la implementación sea extensa, deberán establecerse etapas, responsables y fechas intermedias.
9. Definir el Entregable:
   • El compromiso debe indicar qué resultado concreto se presentará, como:
     • Conciliación firmada.
     • Procedimiento actualizado y autorizado.
     • Reporte del sistema.
     • Configuración implementada.
     • Contrato formalizado.
     • Expediente integrado.
     • Evidencia de capacitación.
     • Matriz de seguimiento.
     • Reporte de supervisión.
10. Determinar la Evidencia de Cumplimiento: Se deben identificar los documentos o registros que demostrarán objetivamente que la acción fue implementada.
11. Establecer un Indicador de Exito: El área debe definir cómo se evaluará la efectividad de la acción. Por ejemplo:
    • Cero diferencias no justificadas.
    • 100 % de conciliaciones realizadas.
    • 100 % de operaciones autorizadas.
    • Reducción de errores respecto del periodo anterior.
    • Ausencia de reincidencia durante un periodo determinado.
12. Garantizar la Continuidad del Control: Cuando la acción establezca un control recurrente, debe indicarse quién lo ejecutará, con qué frecuencia, quién lo revisará y dónde se conservará la evidencia.

Estructura Recomendada para Redactar un Compromiso

A más tardar el ____________, el puesto responsable ____________ realizará o implementará ____________, con alcance en ____________, para corregir ____________ y atender la causa raíz relacionada con ____________. El resultado será ____________ y su cumplimiento se demostrará mediante ____________. Posteriormente, el control será ejecutado con frecuencia ____________ y revisado por ____________. Se considerará efectivo cuando ____________.

Información Minima que debe tener todo Plan de Acción

1. Tipo de acción: Corrección inmediata, acción correctiva o preventiva.
2. Descripción: Actividad específica que será implementada.
3. Causa atendida: Causa raíz que se pretende eliminar o reducir.
4. Alcance: Procesos, registros, operaciones o periodos incluidos.
5. Responsable: Puesto propietario de la acción.
6. Áreas participantes: Puestos o departamentos involucrados.
7. Fecha compromiso: Fecha específica de conclusión.
8. Entregable: Resultado concreto esperado.
9. Evidencia: Documento que comprobará su implementación.
10. Indicador de Éxito: Criterio para evaluar la efectividad.
11. Frecuencia: Periodicidad del control, cuando corresponda.
12. Revisor: Puesto que supervisará su ejecución

Compromisos que No deberían Aceptarse

Auditoría Interna no debería aceptar por sí solas expresiones como:

• Solicitar el ajuste.
• Dar seguimiento.
• Analizar el problema.
• Hablar con el personal.
• Tener mayor cuidado.
• Capacitar al responsable.
• Actualizar el procedimiento.
• Verificar periódicamente.
• Se atenderá a la brevedad.
• Se encuentra en proceso.
• Depende de otra área.

Ejemplo Práctico de Diferencias de Inventario:

1. Causa Insuficiente: La diferencia ya existía cuando el inventario fue entregado al área responsable.
2. Causa Mejorada: La diferencia se originó por la falta de una conciliación documentada durante la transferencia del control del inventario entre las áreas responsables. Adicionalmente, no se efectuaban conciliaciones periódicas entre el sistema, el control auxiliar y las existencias físicas. La desviación no fue detectada oportunamente porque el procedimiento no definía responsables, frecuencia, evidencia ni criterios para investigar y autorizar diferencias.
3. Compromiso Insuficiente: Solicitar a Administración el ajuste correspondiente.
4. Compromiso Mejorado: A más tardar en la fecha acordada, el responsable del inventario, en coordinación con Administración, conciliará las existencias revisadas para determinar el origen de la diferencia y el saldo correcto. Con base en los resultados, se gestionará y verificarán los ajustes autorizados en el sistema y en el control auxiliar. Como evidencia se presentarán la conciliación firmada, el análisis de movimientos, las autorizaciones y los reportes posteriores al ajuste. Adicionalmente, se implementará una conciliación periódica documentada para detectar y prevenir futuras diferencias.

Criterios de Aceptación de Auditoría Interna

Auditoría deberá aceptar una causa cuando:

• Explique el origen de la desviación.
• Identifique la causa raíz.
• Señale el control inexistente o ineficaz.
• Explique por qué no fue detectada oportunamente.
• Delimite el alcance de la situación.
• Se encuentre respaldada con evidencia.
• Se encuentre respaldada con evidencia.

Un compromiso podrá aceptarse cuando:

• Corrija la situación actual.
• Atienda directamente la causa raíz.
• Prevenga o detecte la recurrencia.
• Tenga un responsable definido.
• Incluya una fecha específica.
• Establezca un entregable verificable.
• Identifique la evidencia de cumplimiento.
• Contenga un indicador de efectividad.
• Sea viable y proporcional al riesgo del hallazgo.

Cuando las respuestas no cumplan con estos requisitos, Auditoría Interna deberá devolverlas al área auditada para su análisis, complementación o reformulación.

Conclusión

Finalmente, la calidad del seguimiento de auditoría depende en gran medida de la calidad de las Causas y Acciones Correctivas documentadas. Una respuesta general puede cerrar administrativamente un Hallazgo de Auditoría, pero no necesariamente reduce el riesgo ni fortalece el Control Interno.

Para evitarlo, Auditoría debe establecer instrucciones claras, formatos estructurados y criterios mínimos de aceptación. Por su parte, las áreas auditadas deben asumir compromisos orientados a resultados verificables y no limitarse a expresar intenciones.

Una causa correctamente identificada permite diseñar una solución efectiva. Una acción correctiva bien formulada transforma el hallazgo en una oportunidad real de mejora y contribuye a evitar que la misma desviación vuelva a presentarse.

¿Necesitas más Herramientas para tu departamento de Auditoría o para tus Clientes? ¡Tenemos las siguientes y más!

1. Política de Uso de Inteligencia Artificial
2. Política de Auditoría Interna Corporativa
3. Check List de Control de Evidencia de Auditoría NIA-500

Formando a los Profesionales para el Futuro

El conocimiento solo tiene verdadero valor cuando se comparte. Por eso, uno de los propósitos centrales de Audit Shop es contribuir a la formación de nuevos talentos y jóvenes profesionales que están dando sus primeros pasos en el mundo de Auditoría, Control Interno, Gestión de Riesgos y otras disciplinas clave del entorno empresarial.

Aquí encontrarás no solo conceptos y herramientas, sino también criterios, experiencias y perspectivas, porque la verdadera formación va más allá de lo técnico: implica comprender el porqué de las cosas y cómo aplicarlas con responsabilidad.

¡Pequeñas Inversiones abren Grandes Puertas!

Una pequeña inversión en una membresía de auditoría puede abrirte grandes puertas. Accede a herramientas, guías y plantillas que te permitirán escalar profesionalmente, mejorar tus entregables y destacar en el mundo de Auditoría, Control Interno y la Gestión de Riesgos. Hazte Miembro hoy mismo.

¿Tienes dudas sobre la Membresía o las Herramientas Digitales Premium?

Te escuchamos. Si tienes dudas o requieres ayuda mándanos tus comentarios a: info@auditshop.com.mx.

Herramientas Digitales a tu Medida

¿Necesitas una Cédula de Auditoría, Check List, Formatos, Políticas o una Matriz de Riesgos y Controles diseñados especialmente para tu empresa?
En Audit Shop creamos herramientas digitales On Demand, adaptadas a tus necesidades y alineadas con las mejores prácticas de auditoría, control interno y cumplimiento.