Revisión de controles de adquisiciones y gastos

¿Alguien que no sea el propietario o un único director tiene autoridad para comprometer a la empresa a gastar: realizar pedidos, firmar contratos con proveedores o portar una tarjeta corporativa?

Los controles de compra a pago aumentan con la delegación: una vez que otras personas además del propietario pueden comprometer fondos, los controles preventivos tienen que reemplazar la supervisión personal. Cuente a cualquiera que pueda realizar un pedido, firmar un contrato o pasar una tarjeta: la autoridad informal cuenta exactamente igual que la autoridad formal.

Los controles de compra a pago aumentan con la delegación: una vez que otras personas además del propietario pueden comprometer fondos, los controles preventivos tienen que reemplazar la supervisión personal. Cuente a cualquiera que pueda realizar un pedido, firmar un contrato o pasar una tarjeta: la autoridad informal cuenta exactamente igual que la autoridad formal.

Orientación oficial: Normas GAO para el control interno

¿Cómo se autoriza el gasto antes de comprometerse con el negocio? ¿Qué sucede antes de realizar un pedido o firmar un contrato?

La puerta preventiva es el control que opera antes de que se comprometa el dinero: una vez que se realiza un pedido, la negociación termina y, en general, se debe pagar la factura. Según el Principio 10 del Libro Verde, la cuestión de diseño es si la autorización se produce en el punto del proceso donde surge el riesgo, no si una aprobación finalmente aparece en algún lugar del rastro documental.

El componente de actividades de control del marco de 2013 describe los controles de autorización, verificación y segregación que debe incorporar un proceso de compra a pago.

Orientación oficial: Normas GAO para el control interno

• Control Interno COSO - Marco Integrado

¿Los límites de aprobación configurados en su sistema de compras o contabilidad coinciden con la autoridad realmente delegada a cada rol y se actualizan cuando las personas cambian de rol o se van?

Extraiga el programa de delegación de autoridad y compárelo línea por línea con la configuración del flujo de trabajo; La deriva suele aparecer después de reorganizaciones, ascensos y migraciones de sistemas. Una matriz de aprobación que ya no coincide con la autoridad real da la apariencia de control mientras dirige las decisiones de gasto al escritorio equivocado.

Extraiga el programa de delegación de autoridad y compárelo línea por línea con la configuración del flujo de trabajo; La deriva suele aparecer después de reorganizaciones, ascensos y migraciones de sistemas. Una matriz de aprobación que ya no coincide con la autoridad real da la apariencia de control mientras dirige las decisiones de gasto al escritorio equivocado.

Orientación oficial: Normas GAO para el control interno

Antes de pagar una factura, ¿se coteja con la orden de compra y con la evidencia de recepción (una cotejo triple) y se bloquean las discrepancias o se retienen para su resolución?

La coincidencia triple es el control de verificación clásico: convierte el pedido aprobado y el registro de recepción en una puerta de pago. El fallo común es la disciplina de recepción (los productos llegan sin un registro de recepción o los servicios son confirmados por la misma persona que los ordenó), lo que silenciosamente convierte la coincidencia entre tres en una aprobación de solo factura.

La coincidencia triple es el control de verificación clásico: convierte el pedido aprobado y el registro de recepción en una puerta de pago. El fallo común es la disciplina de recepción (los productos llegan sin un registro de recepción o los servicios son confirmados por la misma persona que los ordenó), lo que silenciosamente convierte la coincidencia entre tres en una aprobación de solo factura.

Orientación oficial: Normas GAO para el control interno

¿Se incorporan nuevos proveedores a través de una verificación independiente (verificaciones de formularios de impuestos y de identidad, detalles bancarios confirmados a través de un contacto conocido) con cambios en el maestro de proveedores separados de la liberación de pagos?

El proveedor maestro es el principal vector de fraude en la compra para pagar: el compromiso del correo electrónico empresarial funciona cambiando los datos bancarios de un proveedor legítimo, y los esquemas de proveedores ficticios funcionan insertando un beneficiario. La verificación a través de datos de contacto obtenidos de forma independiente (nunca el número de teléfono o el correo electrónico en la solicitud de cambio) es el control que derrota a ambos.

El proveedor maestro es el principal vector de fraude en la compra para pagar: el compromiso del correo electrónico empresarial funciona cambiando los datos bancarios de un proveedor legítimo, y los esquemas de proveedores ficticios funcionan insertando un beneficiario. La verificación a través de datos de contacto obtenidos de forma independiente (nunca el número de teléfono o el correo electrónico en la solicitud de cambio) es el control que derrota a ambos.

Orientación oficial: Normas GAO para el control interno

¿Cómo se detectaría un pago duplicado o fraudulento en su proceso actual?

Los controles de detección respaldan la puerta preventiva: los pagos duplicados se agrupan en torno a variantes de nombres de proveedores, facturas reenviadas y conversiones del sistema, mientras que los pagos fraudulentos se agrupan en torno a cambios en los detalles bancarios. Una prueba periódica de pago duplicado (concordancia exacta y aproximada del proveedor, monto y número de factura) es económica y rutinariamente se amortiza por sí sola.

Los controles de detección respaldan la puerta preventiva: los pagos duplicados se agrupan en torno a variantes de nombres de proveedores, facturas reenviadas y conversiones del sistema, mientras que los pagos fraudulentos se agrupan en torno a cambios en los detalles bancarios. Una prueba periódica de pago duplicado (concordancia exacta y aproximada del proveedor, monto y número de factura) es económica y rutinariamente se amortiza por sí sola.

Orientación oficial: Normas GAO para el control interno

¿Los gastos y gastos de la tarjeta corporativa se rigen por una política documentada: límites de la tarjeta, requisitos de recibo, revisión mensual independiente y cancelación inmediata cuando el titular de la tarjeta se va?

El gasto con tarjetas y gastos es el canal que por diseño pasa por alto la puerta de la orden de compra, por lo que necesita su propia política de compensación. La revisión debe ser independiente (el fallo más común en el control de la tarjeta es que el titular de la tarjeta apruebe su propia declaración) y la lista de verificación de baja debe cancelar la tarjeta el día en que finaliza el acceso.

El gasto con tarjetas y gastos es el canal que por diseño pasa por alto la puerta de la orden de compra, por lo que necesita su propia política de compensación. La revisión debe ser independiente (el fallo más común en el control de la tarjeta es que el titular de la tarjeta apruebe su propia declaración) y la lista de verificación de baja debe cancelar la tarjeta el día en que finaliza el acceso.

Orientación oficial: Normas GAO para el control interno

Cuando las compras pasan por alto la ruta de autorización estándar (emergencias, pedidos urgentes, solicitudes de líderes de alto nivel), ¿son esas excepciones raras, registradas y ratificadas rápidamente por alguien con autoridad en ese nivel?

Todo proceso tiene emergencias; la cuestión de control es si las excepciones siguen siendo excepciones. Según el Principio 12 del Libro Verde, una política documentada que rutinariamente se elude sin ratificación no es un control implementado: el control operativo es cualquier cosa que realmente suceda, y eso es lo que un auditor o examinador de fraude probará.

Todo proceso tiene emergencias; la cuestión de control es si las excepciones siguen siendo excepciones. Según el Principio 12 del Libro Verde, una política documentada que rutinariamente se elude sin ratificación no es un control implementado: el control operativo es cualquier cosa que realmente suceda, y eso es lo que un auditor o examinador de fraude probará.

Orientación oficial: Normas GAO para el control interno

Sin una puerta confiable antes del compromiso, ¿existen controles en el lado de los pagos: aprobación dual en la liberación del pago, detalles bancarios del proveedor verificados y una revisión del propietario o controlador del registro de desembolsos completo?

Cuando la autorización previa al compromiso es débil, la liberación del pago se convierte en el último control preventivo en pie. La doble liberación, la verificación independiente de los detalles bancarios y una revisión completa del registro de desembolsos no solucionan las compras incontroladas, pero determinan si la exposición es un gasto excesivo o una pérdida absoluta por fraude.

Cuando la autorización previa al compromiso es débil, la liberación del pago se convierte en el último control preventivo en pie. La doble liberación, la verificación independiente de los detalles bancarios y una revisión completa del registro de desembolsos no solucionan las compras incontroladas, pero determinan si la exposición es un gasto excesivo o una pérdida absoluta por fraude.

Orientación oficial: Normas GAO para el control interno

¿Puede generar el gasto total por proveedor y por categoría durante los últimos doce meses? ¿Se utiliza realmente esa vista para consolidar proveedores, programar renovaciones y negociar precios?

Los controles hacen que los datos de gastos sean confiables; la visibilidad lo hace valioso. Un cubo de gasto (proveedor por categoría por período) construido a partir del historial de cuentas por pagar suele ser la ruta más rápida hacia el ahorro, porque las compras fragmentadas ocultan el volumen que de otro modo los proveedores tendrían que fijar precios. El Principio 13 del Libro Verde enmarca esto como el uso de información de calidad para lograr objetivos.

Los controles hacen que los datos de gastos sean confiables; la visibilidad lo hace valioso. Un cubo de gasto (proveedor por categoría por período) construido a partir del historial de cuentas por pagar suele ser la ruta más rápida hacia el ahorro, porque las compras fragmentadas ocultan el volumen que de otro modo los proveedores tendrían que fijar precios. El Principio 13 del Libro Verde enmarca esto como el uso de información de calidad para lograr objetivos.

Orientación oficial: Normas GAO para el control interno