Escenario: la matriz riesgo-control de Cementos del Sur

Antes de probar la operación de un control hay que saber si, tal como está diseñado, cubre el riesgo. Revisa la matriz y los resultados de las pruebas del ejercicio.

Varios controles manuales se apoyan en un reporte que genera una aplicación. Cruza esa dependencia con los controles generales de TI de cada aplicación y con la prueba de integridad del reporte.

Las pruebas dejaron seis deficiencias con montos potenciales y compensatorios. El criterio del comité clasifica por el monto neto, no por el número de excepciones: no todo control con muchos fallos es grave, ni todo control con uno solo es menor.

El criterio dice que las deficiencias que afectan a la misma cuenta se evalúan también sumadas. Identifica las dos de una misma cuenta y mide el conjunto.

El director financiero pide que lo de inventarios se informe como deficiencia significativa, no como debilidad material, porque la certificación del trimestre sale el viernes y ya hay un plan de conteo. El comité se reúne antes de esa fecha.