En resumen: El control interno designa los procesos, reglas y procedimientos diseñados por la dirección para garantizar la fiabilidad de la información financiera (manual de normas de auditoría para pymes, § 3.3.1). El derecho común de sociedades no lo impone en bloque a todas las empresas, pero la Ley 9-88 impone algunos de sus componentes: justificante (art. 1), manual de organización contable a partir de 10 000 000 MAD de cifra de negocios anual (art. 4), inventario anual (art. 5), conservación durante diez años (art. 22). El auditor evalúa sus controles en cada encargo; su calidad determina el alcance de su trabajo.
Ha recibido observaciones de su auditor legal (commissaire aux comptes) o de su grupo sobre sus procedimientos. A continuación encontrará la óptica con la que lee el auditor, lo que la ley exige realmente, los controles clave por ciclo y un método para tratar las debilidades señaladas. La función general del auditor legal se describe en nuestra guía sobre la auditoría legal en Marruecos.
Lo que las normas de auditoría llaman control interno
El manual de normas de auditoría para pymes publicado por el Ordre des experts-comptables (octubre de 2019) ofrece una definición operativa. El control interno «se refiere a los procesos, reglas y procedimientos diseñados por la dirección para garantizar la fiabilidad de la información financiera y la preparación de los estados financieros, de conformidad con el marco contable aplicable» (§ 3.3.1).
El manual lo divide en cinco componentes: entorno de control, evaluación de riesgos, actividades de control, información y comunicación, seguimiento. Es esta óptica la que el auditor aplica a su empresa.
Dos ideas del manual son relevantes para un director financiero:
- El control interno siempre existe. «Cualquiera que sea el tamaño de la entidad, siempre hay alguna forma de control interno, como la competencia del propietario-gerente» (§ 3.3.1). Puede ser informal; sigue siendo control interno.
- Al auditor solo le interesan los controles relevantes para la auditoría. Evalúa los controles que atenúan los riesgos de incorrección material en los estados de síntesis, debida a fraude o error. Los demás pueden quedar fuera de su alcance (§ 3.3.1).
Por qué el auditor evalúa sus controles y qué cambia eso
Una obligación en todos los encargos
Según el manual, el auditor debe obtener un conocimiento del control interno «en todos los encargos de auditoría», incluso cuando opta por un enfoque totalmente sustantivo (§ 3.3.1). Ese conocimiento le sirve para evaluar el riesgo residual de incorrección material y para diseñar sus procedimientos adicionales. La naturaleza, el momento de realización y la extensión de esos procedimientos dependen de los riesgos evaluados (§ 3.4).
El riesgo inherente (actividad, fraude) se reduce mediante sus controles; lo que queda es el riesgo residual. Cuanto menos atenúen el riesgo sus controles, más debe cubrirlo el auditor con sus propias comprobaciones.
Las cuatro etapas de la evaluación
El manual describe cuatro etapas (§ 3.3.2): identificar los riesgos que deben atenuarse; comprobar que los controles diseñados pueden prevenir, o detectar y corregir, una incorrección material; comprobar que funcionan; documentar su funcionamiento (quién controla, dónde, con qué frecuencia y qué documento se genera).
Dos frases del manual merecen estar a la vista en el departamento contable. Las indagaciones ante la dirección, «por sí solas, no son suficientes». Y «una descripción documentada de controles no implantados (aunque sean buenos), o que no funcionan, carece de valor para la auditoría» (§ 3.3.2).
Lo que hace el auditor cuando faltan controles
Cuando existen pocos controles, el auditor examina si puede responder a las afirmaciones mediante procedimientos sustantivos, o si la ausencia de controles impide obtener evidencia suficiente. Las dudas sobre la fiabilidad de los registros pueden llevarle a modificar su informe, o incluso a renunciar al encargo (§ 3.3.1). Los errores que dan lugar a una salvedad se describen en nuestro artículo sobre los errores contables que provocan salvedades del auditor legal.
Lo que la ley impone realmente
Ni la Ley 9-88 sobre las obligaciones contables ni las Leyes 17-95 y 5-96 sobre sociedades imponen a todas las empresas un sistema de control interno en sentido amplio. Los sectores regulados (banca, seguros, sociedades cotizadas) se rigen además por sus propias normas. Sin embargo, varias obligaciones legales constituyen su base.
| Obligación | Texto | Alcance |
|---|---|---|
| Cada asiento indica el origen, el contenido, la imputación del movimiento y la referencia de su justificante | Art. 1, Ley 9-88 | Todos los comerciantes |
| Manual que describe la organización contable | Art. 4, Ley 9-88 | Cifra de negocios anual superior a 10 000 000 MAD |
| Inventario de activos y pasivos al menos una vez por ejercicio, al cierre del mismo | Art. 5, Ley 9-88 | Todos los comerciantes |
| Libro de inventarios (balance y cuenta de productos y cargas) | Art. 6, Ley 9-88 | Todos los comerciantes |
| Libro diario y libro de inventarios foliados y rubricados por el secretario judicial | Art. 8, Ley 9-88 | Salvo personas físicas contempladas en el art. 1 |
| Conservación de los documentos contables y justificantes durante diez años; documentos llevados sin espacios en blanco ni alteraciones | Art. 22, Ley 9-88 | Todos los comerciantes |
| Comité de auditoría encargado del seguimiento de la eficacia de los sistemas de control interno, de auditoría interna y, en su caso, de gestión de riesgos | Art. 106 bis, Ley 17-95 | SA cuyas acciones cotizan en bolsa |
El contenido y la actualización del manual del artículo 4 se desarrollan en nuestro artículo sobre el manual de procedimientos contables.
El auditor legal ejerce su misión «con exclusión de toda injerencia en la gestión» (art. 166, Ley 17-95): no diseña sus controles, los evalúa, y pone en conocimiento del consejo las irregularidades e inexactitudes descubiertas (art. 169-3°).
Los componentes prácticos de un control interno
Las actividades de control de una pyme se agrupan en cinco familias:
- Segregación de funciones. Quien autoriza no ejecuta, no registra y no custodia el activo.
- Autorizaciones. Umbrales de firma por escrito y lista actualizada de firmantes bancarios.
- Conciliaciones. Un saldo contable se concilia con una fuente independiente, y la diferencia se explica.
- Protección de los activos. Accesos físicos e informáticos restringidos, inventarios.
- Documentación. Cada control deja un rastro: visto bueno, fecha, nombre, diferencias tratadas.
Antes de elegir los controles, identifique los riesgos por ciclo. El método se detalla en nuestro artículo sobre el mapa de riesgos.
Los controles clave por ciclo
Para cada ciclo: el riesgo principal, el control clave y la prueba que pedirá el auditor. Debe adaptarse a su actividad.
| Ciclo | Riesgo | Control clave | Prueba que conservar |
|---|---|---|---|
| Compras | Factura pagada sin pedido ni recepción, proveedor ficticio | Conciliación pedido / albarán de recepción / factura antes del pago; alta de proveedores por una persona que no paga | Expediente por factura con los tres documentos visados; registro de altas y modificaciones de fichas de proveedores, en particular de los datos bancarios (RIB) |
| Ventas | Entrega no facturada, abono injustificado, crédito dudoso sin seguimiento | Conciliación albaranes de entrega / facturas; abonos autorizados por un responsable distinto del comercial; revisión mensual del balance de antigüedad de saldos | Secuencia de facturas y albaranes de entrega sin saltos; abonos firmados; balance de antigüedad comentado |
| Tesorería | Pago no autorizado, desvío de fondos, diferencia bancaria no explicada | Doble firma por encima de un umbral; conciliación bancaria mensual preparada por una persona que no paga y revisada por otra | Estado de conciliación firmado y fechado por cuenta; lista de firmantes; arqueos de caja controlados |
| Nómina | Empleado ficticio, remuneración modificada sin decisión | Altas, bajas y cambios salariales validados por escrito; revisión de las variaciones de la masa salarial de un mes a otro | Contratos y adendas; estado de variaciones visado; conciliación nómina / contabilidad / declaraciones sociales |
| Existencias | Diferencia entre existencias físicas y contables, robo, existencias obsoletas | Inventario físico de cierre de ejercicio (art. 5, Ley 9-88) con recuento contradictorio; acceso restringido a los almacenes | Instrucciones de inventario; hojas de recuento firmadas; estado de las diferencias y de su tratamiento; lista de artículos depreciados |
| Inmovilizado | Bien cedido o dado de baja que sigue en el activo, gasto del ejercicio activado | Autorización de las inversiones; registro de inmovilizado conciliado con el libro mayor; inventario físico periódico | Decisiones de inversión; registro conciliado; acta de inventario; justificantes de baja |
| Cierre | Asiento manual no justificado, provisión omitida, corte de operaciones erróneo | Revisión de los asientos manuales y de los asientos de cierre por un segundo nivel; lista de comprobación de cierre | Asientos de cierre con justificante y visto bueno; cuadro de provisiones; balance justificado cuenta por cuenta |
Para el inmovilizado, véase nuestra guía sobre el inventario físico del inmovilizado; para el cierre, nuestra lista de comprobación del cierre contable anual. En cuanto a la tesorería y las compras, el manual sitúa la falta de procedimientos de control interno adecuados entre los factores de oportunidad de fraude; véase nuestro artículo sobre la auditoría de fraude en Marruecos.
Puntos clave:
- El inventario de activos y pasivos al menos una vez por ejercicio es una obligación legal (art. 5, Ley 9-88).
- Los justificantes se conservan durante diez años (art. 22, Ley 9-88).
La estructura pequeña en la que la segregación de funciones es imposible
El manual lo reconoce: en las entidades pequeñas, el reducido número de empleados puede limitar la segregación de funciones y la documentación escrita. En ellas, el control interno «deriva a menudo del entorno de control» (§ 3.3.1).
El manual añade que «la participación activa del propietario-gerente puede atenuar ciertos riesgos derivados de la falta de segregación de funciones en una entidad pequeña; no obstante, puede aumentar otros riesgos, como el riesgo de elusión de los controles» (§ 5.3).
En la práctica, con dos o tres personas en el departamento financiero, establezca controles compensatorios:
- El directivo firma, la contable prepara. Ningún pago sin la firma de una persona que no haya registrado la operación.
- El directivo revisa lo que no prepara. Extractos bancarios recibidos directamente por él, conciliaciones visadas cada mes, lista de transferencias cotejada con las facturas.
- Las diferencias quedan registradas. Una revisión sin rastro escrito no sirve como prueba para el auditor.
- Los controles del directivo también son visibles. Como aumenta el riesgo de elusión, las operaciones que él mismo inicia (anticipos, gastos, operaciones con partes vinculadas) pasan por una validación documentada, por un socio o por el consejo según su organización.
Para el director financiero que llega a una estructura de este tipo, estos cuatro puntos tienen prioridad sobre la redacción de procedimientos.
Cómo tratar las debilidades señaladas por el auditor
Lo que el auditor le comunica
Según el manual (§ 4.1), pueden aparecer deficiencias en cualquier momento del encargo. Si una deficiencia se evalúa como significativa, el auditor debe primero comentarla con la dirección y después comunicarla por escrito a los responsables del gobierno de la entidad, en tiempo oportuno. El carácter significativo se aprecia mediante juicio profesional, según la probabilidad de que se produzca una incorrección y su magnitud potencial; si la incorrección se ha producido, según su impacto.
Si la deficiencia afecta a la conducta o a la competencia del propio propietario-gerente, no existe en la entidad un destinatario de nivel adecuado: el auditor debe entonces reconsiderar su capacidad para continuar el encargo (§ 4.1).
Lo que el auditor examinará el año siguiente
En su parte dedicada a las recomendaciones, el manual prevé que el auditor puede tener en cuenta las medidas adoptadas por la dirección respecto de las deficiencias señaladas y, en particular, preguntarse «si se han aplicado esas medidas y de qué modo», y si han sido evaluadas por la función de auditoría interna (§ 5.3). Su respuesta a la carta de deficiencias será, por tanto, releída.
Para cada punto, responda por escrito: constatación, medida adoptada, responsable, fecha. Si descarta una recomendación, justifíquelo e indique el control compensatorio.
Plan de acción en 90 días: un método
El método que sigue es una propuesta de organización, no una exigencia de las normas.
| Período | Acciones | Entregable |
|---|---|---|
| Días 1 a 15 | Clasificar las observaciones por ciclo y por gravedad; un responsable por punto | Cuadro de seguimiento de las deficiencias |
| Días 16 a 30 | Por ciclo: riesgo, control clave, prueba esperada; comprobar el umbral del art. 4 de la Ley 9-88 | Matriz de riesgos y controles |
| Días 31 a 60 | Implantar los controles que faltan (umbrales de firma, conciliaciones, revisión de terceros, lista de comprobación de cierre) | Procedimientos breves, modelos de visto bueno |
| Días 61 a 75 | Ejecutar los controles durante un mes completo | Expediente de pruebas del mes de prueba |
| Días 76 a 90 | Revisión por una persona independiente del ciclo; respuesta escrita | Respuesta punto por punto, fechada |
Prepare sus pruebas en el formato de la etapa 4 del manual: quién, dónde, con qué frecuencia, qué documento (§ 3.3.2). El calendario del encargo y los documentos solicitados se detallan en nuestro artículo sobre la preparación de la intervención del auditor legal. El desarrollo de un encargo legal o contractual se presenta en la página auditoría y auditoría legal.
Puntos de atención
- Un procedimiento no es un control. Sin rastro de ejecución, el control carece de valor para la auditoría (§ 3.3.2 del manual).
- Umbral del art. 4 de la Ley 9-88. A partir de 10 000 000 MAD de cifra de negocios anual, el manual de organización contable es obligatorio.
- Elusión por parte de la dirección. La supervisión del directivo compensa la falta de segregación de funciones, pero aumenta este riesgo (§ 5.3).
- Sociedades cotizadas. El comité de auditoría informa periódicamente al consejo del ejercicio de sus funciones (art. 106 bis, Ley 17-95).
Preguntas frecuentes
¿Obliga alguna ley a todas las sociedades marroquíes a contar con un sistema de control interno?
No: ni la Ley 9-88 ni las Leyes 17-95 y 5-96 sobre sociedades imponen un sistema global a todas las sociedades. La Ley 9-88 impone obligaciones que forman parte de él (justificantes, inventario anual, conservación durante diez años, manual de organización contable a partir de 10 000 000 MAD de cifra de negocios, art. 4). La Ley 17-95 encomienda al comité de auditoría de las sociedades cotizadas el seguimiento de la eficacia del control interno (art. 106 bis).
¿Por qué el auditor legal evalúa nuestro control interno?
Según las normas de auditoría para pymes (§ 3.3.1), debe conocerlo en todos los encargos para evaluar el riesgo de incorrección material y diseñar sus procedimientos adicionales. Si los controles son fiables, puede probarlos; si no, se apoya más en procedimientos sustantivos.
¿Cómo segregar funciones con dos personas en el departamento contable?
Separe como mínimo la autorización de los pagos de su ejecución y de su registro, y encomiende al directivo la revisión de las conciliaciones y de las listas de pagos. El manual señala que la participación activa del propietario-gerente puede atenuar la falta de segregación de funciones, aunque aumenta el riesgo de elusión de los controles (§ 5.3).
¿Basta un procedimiento escrito para el auditor?
No. Según el manual (§ 3.3.2), una descripción documentada de controles no implantados o que no funcionan carece de valor para la auditoría, y las indagaciones ante la dirección no son suficientes. Hace falta un rastro del control realizado: visto bueno, fecha, diferencia tratada.
¿Qué hacer con una deficiencia significativa señalada por el auditor?
El auditor debe primero comentarla con la dirección y después comunicarla por escrito a los responsables del gobierno de la entidad (§ 4.1). Responda punto por punto con un responsable, una medida y una fecha; el auditor puede examinar si se han aplicado esas medidas y de qué modo en el encargo siguiente (§ 5.3).
LEER TAMBIÉN:
- Manual de procedimientos contables
- Mapa de riesgos: lo que hay que saber
- 5 errores contables que provocan salvedades del auditor legal
