Auditoría del SAGRILAFT y del PTEE y preparación para una visita

Revisar desde afuera un programa que ya existe

Cuando ya hay un SAGRILAFT o un PTEE adoptado, el trabajo no es volver a escribirlo: es establecer qué tan defendible es. Lo revisamos contra dos referencias, y las dos importan. La primera es la circular aplicable. La segunda, que suele revelar más, es la operación real de la empresa: si el manual dice que se pide un documento y los expedientes no lo tienen, la brecha está ahí y no en la redacción.

Qué miramos

• Sujeción y régimen. Si la empresa sigue en el régimen bajo el cual adoptó el programa o si cambió de categoría sin darse cuenta.
• Matriz de riesgo. Si corresponde a la operación actual, si los controles existen y si alguien los ejecuta de verdad.
• Expedientes de contrapartes. Revisión por muestreo de vinculaciones recientes, que es donde aparecen los vacíos.
• Actas e informes. Aprobaciones, informes del oficial de cumplimiento y constancia de que el máximo órgano social conoció y decidió.
• Capacitación. Cobertura, contenido por rol y registro de asistencia.
• Alertas y decisiones. Si las alertas se analizaron, quién decidió y si la decisión quedó documentada con su razón.
• Terceros. Debida diligencia sobre agentes e intermediarios y cláusulas de cumplimiento en los contratos vigentes.

El informe de brechas

Entregamos un informe que dice qué falta, qué está incompleto y qué está bien, con un plan de remediación priorizado por riesgo y no por facilidad. Distinguimos lo que hay que corregir antes de una visita, lo que puede ordenarse durante el trimestre y lo que se ajusta en la próxima revisión anual. Cada punto lleva responsable sugerido y evidencia esperada, para que el avance pueda medirse y no dependa de la memoria de nadie.

Preparación para una visita o una auditoría

Cuando hay una visita anunciada, una debida diligencia en curso o un cliente institucional que va a auditar, el trabajo cambia de ritmo.

• Ordenamos el expediente del programa para que lo que existe pueda mostrarse en el momento en que se pida.
• Preparamos a quienes van a ser entrevistados sobre el alcance de su propia función, no sobre un libreto.
• Definimos quién recibe a los funcionarios, qué se entrega y cómo se deja constancia de cada entrega.
• Revisamos con anticipación los puntos donde el programa está débil, para que la empresa no se entere de ellos durante la visita.

Cuando ya llegó el requerimiento

Un requerimiento de la Superintendencia de Sociedades tiene término, y todo lo que se radica queda en el expediente. Verificamos la fecha de notificación y el alcance real de lo que se está pidiendo, reconstruimos internamente los hechos antes de responder y preparamos la respuesta con los soportes que la acompañan. Si la actuación avanza hacia una investigación administrativa, asumimos la defensa técnica de la sociedad y advertimos desde el principio cuándo los administradores necesitan una posición separada, porque en estas actuaciones la exposición no es únicamente de la empresa.

Qué recibe el cliente

• El informe de auditoría con las brechas identificadas y el sustento de cada una.
• El plan de remediación priorizado, con responsables sugeridos y evidencia esperada.
• Los documentos corregidos, cuando el alcance contratado incluye la remediación.
• El protocolo de atención de visitas y requerimientos, con una versión breve que pueda consultarse en el momento.
• Las respuestas radicadas ante la autoridad y el seguimiento de la actuación.

Situaciones típicas que atendemos

• El programa se adoptó hace años y nadie lo ha vuelto a mirar desde entonces.
• Un comprador o un inversionista está revisando el cumplimiento dentro de una debida diligencia.
• La empresa cambió de tamaño, de mercados o de canales y el programa quedó describiendo un negocio que ya no existe.
• Llegó un requerimiento o se anunció una visita y hay que saber, antes que la autoridad, dónde está parada la empresa.