5.2 TÍTULO II: CONTROL INTERNO

El Sistema de Control Interno es un proceso efectuado por los diferentes estamentos de una Caja de Compensación de Asignación Familiar, tales como el directorio, la alta administración y el personal de la Institución; diseñado con el objeto de proporcionar un grado de seguridad razonable en cuanto a la consecución de los objetivos de la Organización, contemplando al menos las siguientes categorías:

La eficacia y eficiencia de las operaciones.
La adhesión a las políticas aprobadas por el directorio
La confiabilidad de la información relevante para la toma de decisiones.
El cumplimiento de las leyes, reglamentos y normas que sean aplicables.

Dicho sistema debe contar con una metodología definida de control para los procedimientos administrativos y contables, además de mecanismos adecuados de información a todos los niveles de la entidad y de una instancia de verificación del cumplimiento normativo.

El Sistema de Control Interno tiene como finalidad verificar el cumplimiento y comportamiento de, a lo menos, los siguientes aspectos debiendo las Cajas implementar medidas de control para cada uno de ellos:

La entidad, sus directivos y trabajadores deben cumplir con las disposiciones legales y normativas que les sean aplicables.
La gestión de la Caja debe ser acorde con las políticas y estrategias establecidas por el directorio y los Códigos de Buenas Prácticas vigentes en la Institución y la normativa vigente.
Todas las transacciones operativas, según los procesos y las líneas de negocios existentes, deben ser realizadas con las autorizaciones correspondientes y con resguardo de la debida segregación funcional.
El correcto resguardo y tratamiento de los activos de información de la Caja de Compensación.
La contabilidad y otros registros deben proporcionar una información completa, precisa, íntegra, verificable y oportuna.
La alta administración, los dueños de procesos y los trabajadores en general, deben poder prevenir, identificar, evaluar, administrar y controlar sus riesgos según su ámbito, y a su vez, conocer los controles aplicados para la mitigación de dichos riesgos, así como la evolución y evaluación de dichos controles, tanto para los procesos internos que administren, como aquellos que se encuentren externalizados.
Se debe procurar el control de las entidades proveedoras, respecto de la calidad, continuidad y cumplimiento de los servicios otorgados.
La información y antecedentes de gestión, la documentación sustentatoria de transacciones y otros activos de información generados por la Caja, deben estar debidamente identificados, clasificados, almacenados y ser accesibles para la propia Caja y los organismos reguladores.
Se debe controlar que los proyectos, planes, programas y sistemas de información implementados por la Caja de Compensación se desarrollen satisfactoriamente para alcanzar las metas establecidas, controlando su implementación y verificando el cumplimiento de los hitos, cronogramas, presupuestos, puestas en marcha y otros aspectos que permitan una correcta implementación.
Se debe velar porque los recursos sean usados en forma económica y eficiente, con un control presupuestario y de gastos verificables.
Se debe garantizar que los trabajadores y pensionados afiliados reciban los beneficios de bienestar social y las prestaciones legales que correspondan de manera oportuna, expedita y con la mayor calidad e información posible.
Velar por la transparencia de la información a los afiliados, público y entidades reguladoras.

5.2.2 RESPONSABILIDADES Y FUNCIONES DEL DIRECTORIO Y LA GERENCIA GENERAL RESPECTO DEL SISTEMA DE CONTROL INTERNO.

Es responsabilidad del directorio aprobar el diseño y la metodología organizacional que permita un adecuado Sistema de Control Interno en las Cajas de Compensación de Asignación Familiar.

Además, el directorio debe velar porque se desarrolle e implemente una cultura de control interno y por el correcto funcionamiento de dicho sistema en la organización. El directorio debe recibir permanentemente los informes sobre la efectividad y el comportamiento del sistema de control interno, por parte de la unidad organizacional que haya sido designada para tal efecto, de forma complementaria a los otros reportes de riesgo ya normados, teniéndose que reportar a éste cualquier debilidad relevante identificada, tan pronto como sea posible, para que se puedan adoptar las acciones apropiadas para prevenir, eliminar, transferir, mitigar o eventualmente aceptar los riesgos identificados, siempre que se encuentren bajo los niveles de riesgos aceptados por la organización.

Para estos efectos, el directorio debe establecer y mantener actualizado un procedimiento específico para la revisión de los respectivos reportes integrados de la gestión de riesgos y del control interno.

5.2.2 RESPONSABILIDADES Y FUNCIONES DEL DIRECTORIO Y LA GERENCIA GENERAL RESPECTO DEL SISTEMA DE CONTROL INTERNO.

5.2.2.1 Funciones del directorio

Aprobar el diseño y metodología organizacional del Sistema de Control Interno, ya sea mediante un modelo centralizado o descentralizado, verificando que éste sea adecuado para la naturaleza y la escala de las operaciones de la Caja, independiente de las unidades de auditoría interna, que considere una correcta segregación de funciones entre las unidades operativas de negocios y aquellas de Riesgo y Control.
Velar por la suficiente asignación de los recursos económicos y de personal que sean necesarios para la implementación y funcionamiento del Sistema de Control Interno.
Velar porque se mantenga en el tiempo un Sistema de Control Interno efectivo y conocer las principales debilidades del Sistema de control en la Caja de Compensación.
Aprobar la Política y el Manual de Control Interno de la organización.
Llevar a cabo una vigilancia prudente y adecuada del sistema de administración de riesgos y entidades relacionadas, acorde a las estrategias y políticas respectivas ya aprobadas e instauradas por el directorio, debiendo complementarse en forma efectiva con el Sistema de Control Interno.
Recibir permanentemente informes relativos a la efectividad de los controles internos, como, asimismo, de las deficiencias detectadas por la administración, por la auditoría interna, por su personal o por cualquier medio, las que deben ser reportadas al directorio y tratadas a la brevedad, quedando su análisis reflejado en las respectivas actas de directorio.
Complementar el Código de Buenas Prácticas y Conducta de la organización, con las medidas relativas al Sistema de Control Interno, en el marco del Gobierno Corporativo.
Complementar el Sistema de Control Interno con aquellas medidas tendientes a desarrollar herramientas para la prevención estratégica del lavado de activos, financiamiento del terrorismo y prevención del cohecho.

5.2.2.2 Funciones de la Gerencia General

Implementar y mantener en funcionamiento el Sistema de Control Interno conforme a las instrucciones del directorio. Para tal efecto, el Gerente General debe implementar en la Caja la metodología organizacional necesaria para el adecuado desarrollo de dicho sistema.
Proponer la Política y el Manual de Control Interno de la organización al directorio.
Responsabilizarse por el funcionamiento, efectividad y coordinación de los distintos procesos de gestión de riesgos existentes en la Caja y su relación con el Sistema de Control Interno.
Analizar la efectividad y evolución de los controles implementados y reforzar aquellos que se encuentren bajo las tolerancias definidas por la organización, complementando dicha información con la Gestión de Riesgos existente.
Analizar y revisar la evolución de los controles internos de los procesos, así como la relación con los riesgos identificados, con el fin de verificar aquellas variaciones que requieran la implementación de medidas preventivas o mitigantes, en el desarrollo de las operaciones efectuadas por la Caja de Compensación.

5.2.3 EL SISTEMA DE CONTROL INTERNO

Las Cajas deben implementar y mantener un Sistema de Control Interno que permita salvaguardar sus recursos, verificar la exactitud y veracidad de su información financiera, verificar la información que se emite al mercado y al entorno, promover la eficiencia y eficacia en sus operaciones así como también, estimular la observancia y cumplimiento de las políticas, procedimientos y códigos, que le permitan cumplir con su misión y objetivos como entidades de previsión social, dentro del marco legal y reglamentario vigente.

El Sistema de Control Interno debe comprender, al menos, los siguientes componentes:

5.2.3 EL SISTEMA DE CONTROL INTERNO

5.2.3.1 Ambiente de control interno

Se entiende por Ambiente de Control Interno al conjunto de valores éticos que componen el clima de control que se gesta o surge en la conciencia individual y grupal de los integrantes de una organización, por la influencia de la historia y cultura de la entidad y por las pautas dadas por el directorio respecto de la integridad en la organización.

Define, además, al conjunto de circunstancias que enmarcan el accionar de una entidad desde la perspectiva del control interno, de manera centralizada o descentralizada según la complejidad de la organización y que son, por lo tanto, determinantes del grado en que los principios de este último imperan sobre las conductas y los procedimientos organizacionales.

Es fundamentalmente, consecuencia de la actitud asumida por el directorio, la alta gerencia, y por carácter reflejo de los demás agentes, en relación a la importancia del control interno y su incidencia sobre las actividades y resultados.

Las Cajas deben considerar, a lo menos, los siguientes factores del ambiente de control interno relacionados con su personal y el entorno en que se trabaja:

5.2.3.1 Ambiente de control interno

5.2.3.1.1 Integridad y valores éticos

Las Cajas deben complementar la información del Código de Buenas Prácticas y Conducta, indicado en la normativa de Gobiernos Corporativos, para establecer los lineamientos de integridad y valores éticos como elementos partícipes del ambiente de control interno, que sean adecuados entre todo su personal y organizaciones relacionadas, verificando periódicamente su difusión y conocimiento, definiendo líneas de acción claras en caso de transgresiones a los valores establecidos y a las conductas. Todo lo anterior, complementando el marco del Gobierno Corporativo en las Cajas de Compensación de Asignación Familiar.

Asimismo, se debe considerar la aplicación de sanciones ante conductas impropias que vulneren el Código mencionado anteriormente. Además, deben promoverse canales de comunicación formales para los trabajadores de la Caja como para el público en general que faciliten el reporte de actividades sospechosas o cuestionables, y aquellas acciones que vayan en contra de los lineamientos establecidos en el Sistema de Control Interno.

5.2.3.1.2 Estructura de Comités y el Sistema de Control Interno

La estructura funcional que cada Caja adopte para la implementación del Sistema de Control Interno debe entregar información permanente a los diversos Comités de la misma, los que deben analizar los resultados del Sistema de Control Interno, en el ámbito de su competencia, e informar oportunamente al directorio sobre aquellos hallazgos relevantes referentes al control interno. El tratamiento de las materias de control interno en los Comités debe quedar reflejado en sus respectivas Políticas y documentación de respaldo.

5.2.3.1.3 Estructura organizacional de las Cajas de Compensación y proceso de delegación de autoridad

Cada Caja debe implementar una estructura organizacional que asegure un marco formal de autoridad y responsabilidad dentro del cual se proyecten, ejecuten y controlen las actividades que permitan cumplir sus objetivos institucionales, estableciendo necesariamente una correcta segregación funcional, de supervisión, aprobación y contingencia, en el marco de un Sistema de Control Interno, complementando la gestión de procesos y la gestión de la continuidad operativa.

La Estructura Organizacional debe plasmarse en un documento, el que debe ser informado al directorio ante cambios relevantes en la organización, en donde, al menos, se señalen con claridad: la gerencia general, las gerencias y subgerencias, jefaturas y/o supervisores.

Además, la unidad encargada de la gestión de los recursos humanos debe tener un medio en donde se indique la individualización de sus trabajadores, sus cargos, respectivas unidades organizacionales, roles, funciones, procesos a cargo, dependencias jerárquicas y reemplazos en casos de contingencia. Este documento debe ser actualizado en cada cambio organizacional y debe estar disponible para fines administrativos y de gestión interna de la Caja, así como de los organismos reguladores.

5.2.3.1.4 Prácticas de Recursos Humanos

Las Cajas deben desarrollar una Política de administración de Recursos Humanos que considere los niveles esperados de integridad, comportamiento ético, capacidades y conocimientos de los trabajadores. Además, deben elaborar un Manual de Administración de Recursos Humanos que considere al menos los siguientes ámbitos:

Competencia: la administración superior de la Caja debe especificar los niveles de competencia para los distintos cargos, precisando los requisitos de conocimiento y habilidades para poder desempeñarlos.
Definición de los perfiles de cargo: detallar la estructura organizacional y fijar las funciones de cada uno de los cargos de la organización.
Contratación: establecer un procedimiento de selección y reclutamiento que defina los requisitos adecuados de conocimientos, experiencia e integridad, previstos en los perfiles de cargos, en que se especifiquen suficientemente las obligaciones a que se encuentran sujetos los trabajadores en esta materia y la aplicación de sanciones frente a su inobservancia.
Inducción: esto es, presentaciones acerca de la historia, cultura y procedimientos de la empresa, contemplando además los niveles de integridad, comportamiento ético, capacidad y conocimientos que les son exigibles a los trabajadores que ingresan a la organización.
Toma de Conocimiento: aceptación y conocimiento de los Códigos, Políticas y Manuales que les sean aplicables a sus funciones.
Capacitación: procurar el desarrollo planes de capacitación periódicos, con el fin de mejorar el desempeño profesional, considerando aquellos lineamientos que permitan mejorar el desempeño laboral y personal de los trabajadores y trabajadoras.
Oportunidad: potenciar el desarrollo y el trato entre los trabajadores de manera equitativa y respetuosa, con igualdad de oportunidades en materia de género y evitando todo tipo de discriminación.
Evaluación: establecer la metodología de evaluación anual y reconocimientos del desempeño de los trabajadores.
Sanciones: definir las sanciones y medidas disciplinarias aplicables a los trabajadores.

5.2.3.1.5 Mecanismos de incentivos

La Gerencia General debe velar porque los incentivos que se establezcan sobre desempeño del personal de la Caja de Compensación no supongan conductas alejadas de los lineamientos éticos o prácticas que incidan en potenciales conflictos de interés.

Por lo anterior, en el caso de la alta administración, no se pueden vincular sus incentivos económicos a desempeños que no se encuentren establecidos en sus respectivos contratos de trabajo y que puedan generar malas prácticas o conflictos de interés. Además, dichos mecanismos de incentivos deben ser aprobados por acuerdo del directorio e informados a esta Superintendencia.

Las compensaciones, en otros estamentos organizacionales diferentes a la alta administración, pueden ser contempladas en Planes Anuales aprobados por el directorio.

El directorio de cada Caja de Compensación debe revisar anualmente los planes de incentivos de los funcionarios y garantizar que no ocurran las conductas y prácticas precedentemente aludidas.

5.2.3.1.6 Administración de Riesgos y el Control Interno

Las Cajas deben desarrollar una filosofía de Administración de Riesgos, velando por identificar, medir, controlar, monitorear e informar los diversos tipos de riesgos a los que se ven expuestas en el desarrollo de sus actividades, tanto propias como aquellas que se encuentren en procesos externalizados. Es por ello que las Cajas de Compensación de Asignación Familiar deben promover una gestión basada en riesgos, que se transmita y divulgue en toda la organización, sus empresas relacionadas y proveedoras; generando una cultura de riesgo que se integre con el sistema de control interno apropiado a la naturaleza, tamaño y complejidad de las actividades que desarrolla.

Los controles implementados deben contemplar los aspectos de diseño y efectividad, estableciendo una metodología de evaluación de los mismos que permita determinar con claridad su acción mitigante por sobre los riesgos inherentes identificados.

5.2.3.1.7 Control de Auditoría Interna

La unidad de Auditoría Interna es la responsable de la revisión independiente de todos los procesos realizados por las Cajas de Compensación, evaluando la implementación de las políticas, el desarrollo y funcionamiento de los procedimientos y la efectividad ex post de los controles realizados. En el marco del Sistema de Control Interno, la Unidad de Auditoría debe:

Verificar la efectividad y cumplimiento de las políticas, los procesos y de aquellos controles internos implementados.
Asegurar razonablemente que los riesgos identificados sean evaluados y mitigados con la aplicación de controles, en donde se revise su diseño y efectividad y que estos resultados sean considerados en sus informes de auditoría.
Verificar que las acciones de mitigación y control definidas efectivamente se han implementado y que mitigan apropiadamente los riesgos dentro de niveles aceptables.
Reportar directamente al directorio y a los respectivos Comités las situaciones observadas.

5.2.3.1.8 Auditoría externa

Las políticas, procesos y controles desarrollados e implementados en el marco de Control Interno pueden ser revisados por Auditores Externos de manera independiente, según las normativas vigentes.

5.2.3.1.9 Relación con las Entidades Reguladoras

Las Cajas de Compensación se encuentran sometidas al control y fiscalización de la Superintendencia de Seguridad Social, de acuerdo con lo señalado en el artículo 23 de la Ley N°16.395, así como también de otros organismos reguladores. Por lo anterior, la relación existente entre la Caja de Compensación y sus organismos reguladores debe ser ajustada a los términos establecidos en el ordenamiento jurídico vigente, a las instrucciones impartidas, velando por la disponibilidad de la información que requieran los reguladores.

El Sistema de Control interno debe también verificar el cumplimiento, en tiempo y forma, respecto de la entrega de información requerida por los entes reguladores.

Referencias legales: Ley 16.395, artículo 23

5.2.3.2 La evaluación de riesgos y el sistema de control interno

Corresponde tanto al directorio como a los comités, la alta administración, las unidades de riesgo, dueños de procesos y trabajadores de la entidad, su participación activa en el Sistema de Gestión de Riesgos implementado en la respectiva Caja de Compensación, conocer los niveles de riesgo aceptados y los principales riesgos inherentes a los que éstas se enfrentan.

Por Io anterior, la organización debe asimilar la metodología de identificación y evaluación de los riesgos, la evaluación de los mismos considerando su probabilidad o frecuencia de ocurrencia así como también la magnitud de su impacto económico o patrimonial y aquellas otras evaluaciones que contemplen los impactos sociales de los procesos que deban ser incorporadas a los sistemas de gestión de riesgo, con el fin adoptar las medidas de control que correspondan.

La identificación, diseño, implementación, trazabilidad y efectividad de los controles complementa la evaluación de los Riesgos Operacionales y lo relaciona directamente con el Sistema de Control Interno.

Por lo anterior, los responsables de la implementación del control interno deben establecer una metodología para la evaluación de los controles mitigantes de los riesgos, con el fin de medir el efecto mitigador de éstos en un proceso de monitoreo y evaluación interna continua, complementario a Io indicado en el Título I del Libro VI de este Compendio de la Ley N°18.833, sobre de Gestión del Riesgo Operacional.

Las materias de Control Interno deben ser incorporadas en los respectivos comités de riesgos o equivalentes. Entre las labores que deben analizar en esta instancia se encuentran: la revisión de la identificación de los riesgos, el análisis de éstos, su comparación según los niveles de riesgo aceptado y la evaluación de los controles aplicados, que permitan determinar si se necesita la implementación de planes de acción.

Complementando la evaluación de los riesgos de la organización, el sistema de control interno debe asegurarse que los controles diseñados para el tratamiento de los riesgos son implementados eficazmente y que cumplen con los objetivos de control interno (operacionales, de información financiera, de cumplimiento entre otros) de la Caja, con el fin de evaluar los riesgos residuales de cada uno de los procesos y establecer la necesidad de incorporar o fortalecer las actividades de control para mitigar los riesgos.

El alcance del control interno debe abarcar todos los procesos, ya sean estratégicos, relacionados a las líneas de negocio o procesos de apoyo.

Finalmente, se debe mantener informada a la alta administración, al directorio y a esta Superintendencia, de acuerdo con las instrucciones impartidas, respecto de la evolución de los riesgos, sus controles y materializaciones, remitiendo un informe anual sobre los resultados generales de la Gestión del Control Interno el que podrá complementarse con el informe instruido en el Título I del Libro VI del Compendio de la Ley N°18.833, de gestión del riesgo operacional.

5.2.3.3 El riesgo reputacional y el control interno

Las Cajas de Compensación deben incorporar, como parte del Sistema de Control interno, la evaluación del Riesgo de Reputación, analizando aquellos elementos internos o externos que puedan afectar su percepción por parte de sus afiliados, público general, organismos reguladores y el mercado.

Se debe contar con un reporte y registro del análisis de eventos con consecuencias en esta materia, el cual permita a la alta administración y al directorio tener una fuente de información para apoyar la toma de decisiones.

5.2.3.4 Actividades de control

Las Cajas deben llevar a cabo actividades de control que les permitan asegurar el cumplimiento de las directrices administrativas de control de los riesgos, de modo de adoptar las acciones mitigadoras que se estimen necesarias. Estas medidas deben ser acordes o complementarias a las actividades definidas a partir de las políticas de riesgo declaradas por la entidad.

Respecto de lo anteriormente expuesto, cabe señalar que cada actividad de control se debe diseñar con el fin de cumplir con un objetivo de control específico. Algunos ejemplos de objetivos de control son los siguientes:

Documentación de los procesos: existencia de los procesos documentados, incorporando las actividades de control en los mismos.
Documentación relacionada: en caso de que el procedimiento lo indique, debe existir integridad y la totalidad de la documentación y evidencias requeridas en los documentos asociados al proceso.
Existencia/VaIidación: sólo se deben procesar transacciones válidas, documentadas y debidamente autorizadas.
Ocurrencia: sólo las transacciones que ocurrieron en un determinado período son procesadas (cortes documentales).
Integridad: todas las transacciones que deben ser procesadas, Io son en tiempo y forma.
Validación de cálculos: los saldos se evalúan con procedimientos adecuados y se verifica que los cálculos aplicados son correctos.
Sistemas de información y datos: Estos se encuentren íntegros, validados y que reflejen fielmente la realidad.
Activos y Pasivos: la entidad tiene derechos efectivos sobre los activos, y los pasivos deben representar adecuadamente las obligaciones de la entidad.
Clasificación y presentación: los componentes de los estados financieros deben ser apropiadamente clasificados.
Razonabilidad: los resultados y/o saldos aparecen como razonables en relación con el resto de la información y las tendencias históricas de la organización.

En cuanto a las actividades de control, cabe señalar que ellas se deben realizar en todos los niveles jerárquicos de la Caja y necesariamente en todas aquellas funciones y actividades que conlleven un riesgo.

Las actividades de control pueden corresponder, a Io menos, a las siguientes:

5.2.3.4 Actividades de control

5.2.3.4.1 Tipos de Controles

Se deben aplicar diversos tipos de controles a las actividades de los procesos, como, por ejemplo, los controles preventivos, concurrentes o de retroalimentación, contemplando en dichos controles la totalidad, integridad y el correcto registro de datos, que permitan verificar que los resultados de los procesos sean efectivos y eficientes.

5.2.3.4.2 Segregación funcional de tareas y responsabilidades

Las tareas y responsabilidades esenciales relativas a la autorización, ejecución, registro, custodia y revisión de las transacciones y operaciones de la entidad deben ser asignadas velando que no se generen conflictos entre ejecución y control.

5.2.3.4.3 Registro oportuno y adecuado de las transacciones y operaciones

Las transacciones y operaciones que afectan a una entidad deben registrarse inmediatamente y ser debidamente clasificadas, así como sus controles y evaluaciones.

5.2.3.4.4 Requerimiento de respaldos contables y su disponibilidad

Los registros contables deben quedar respaldados con la documentación de soporte respectiva según los plazos establecidos en la legislación vigente. Esta documentación tiene que quedar adecuadamente disponible para permitir y facilitar las revisiones internas y externas, incluidas la revisión de esta Superintendencia. El acceso a estos respaldos no debe depender de la presencia o ausencia de las personas, ni de los servicios de custodia y almacenaje contratados para ello, incorporando los mismos a los Sistemas de Seguridad de la Información implementados.

5.2.3.4.5 Niveles definidos de autorización

Los actos y transacciones relevantes sólo pueden ser autorizados y ejecutados por trabajadores que actúen dentro del ámbito de su autoridad, establecida en su perfil de cargo y su perfil sistémico. La conformidad de las autorizaciones y poderes deben estar en línea con la dirección, misión, estrategia, planes, programas y presupuesto de cada Caja.

Las autorizaciones y poderes otorgados en cada Caja deben encontrarse documentados formalmente y ser comunicados explícitamente tanto al directorio como a las personas o sectores autorizados. Estos últimos deben ejecutar las tareas que se les han asignado, en apego a las directrices definidas y dentro del ámbito de competencias establecidas por la normativa existente.

5.2.3.4.6 Acceso restringido a los recursos, activos y registros

Las Cajas deben proteger y limitar el acceso a los recursos, activos, registros y comprobantes. Las personas autorizadas para acceder a estos datos, deben tener accesos registrados y tener controles de acceso a la información en custodia además de registros de su utilización.

Todo activo de valor o de información debe ser asignado a un responsable por su custodia y es responsabilidad de la administración superior velar porque se cuente con adecuadas protecciones, mediante el uso de seguros, almacenaje, sistemas de alarma, claves de acceso, sistemas de respaldo, etc., en base al cumplimiento de la seguridad de la información, complementario a la Gestión del Riesgo Operacional.

Los activos deben estar debidamente registrados y periódicamente, sin previo aviso, se deben cotejar las existencias físicas con los registros contables para verificar su coincidencia. La frecuencia de la comparación debe ser definida por la alta administración, dependiendo del nivel de vulnerabilidad del activo.

5.2.3.4.7 Personal clave en determinadas funciones

Ningún trabajador debiera tener a su cargo, como única función, tareas críticas que presenten un alto potencial de llegar a cometer irregularidades, materialización de riesgos operacionales o que potencialmente presenten riesgos al sistema de control interno o continuidad operativa de la Caja de Compensación. Los trabajadores a cargo de dichas tareas deben tener respaldos en otros trabajadores. La administración superior de cada Caja debe velar por establecer medidas mitigadoras suficientes cuando lo anterior no pueda cumplirse.

5.2.3.4.8 Revisiones gerenciales

La Gerencia General de la Caja debe controlar periódicamente el desempeño de las diversas áreas funcionales de la misma, por la vía de la revisión de la trazabilidad de indicadores de desempeño, de riesgo y de controles en los procesos. Se deben diferenciar claramente los indicadores de riesgo de los indicadores de gestión y esta información debe ser complementada con otros aspectos de evaluación. Los resultados de dichas revisiones deben ser informadas al directorio.

Asimismo, el directorio debe controlar el rendimiento, comparando la evolución de la entidad y su desempeño, incorporando el análisis de las desviaciones en los planes estratégicos, presupuestos, la comparación con el resultado de años anteriores y con el mercado.

5.2.3.4.9 Control de los Sistemas de Información

Los controles a los sistemas de información y los sistemas de seguridad de la información deben estar referidos a los controles de los riesgos identificados en las actividades sistémicas, esto es, controles sobre las operaciones ejecutadas en los sistemas, en los centros de procesamientos de datos, de arquitectura de los sistemas, integridad de los datos, sobre la seguridad física y lógica de los datos, la ejecución y/o contratación y mantenimiento del hardware y software, perfiles de acceso, controles de acceso físico y lógico a instalaciones o sistemas y controles sobre desarrollo, mantenimiento e implementación y aseguramiento de la calidad de los sistemas informáticos y de aplicaciones.

Se encuentran dentro de esta categoría de controles los procesos de respaldo de datos y recuperación de caídas de los sistemas informáticos, contemplados en los respectivos planes de continuidad operativa. Esos controles deben ser aplicados a toda la tecnología crítica incluyendo, al menos, los sistemas principales, servidores, bases de datos, almacenamiento de datos, redes de comunicación, enlaces de datos y voz y computadores personales.

También deben considerarse controles de aplicación en los procesos que conllevan riesgos significativos, contribuyendo con ello al aseguramiento de la integridad y exactitud de tales procesos, prestando especial atención a las interfaces y relación entre sistemas y aplicaciones. Los controles de aplicación se deben extender también a las aplicaciones de usuarios finales relacionadas eventualmente a riesgos en los ámbitos de control interno.

5.2.3.4.10 Control Interno de la gestión contable

Las Cajas deben mantener un sistema de gestión contable que refleje de forma clara y fehaciente su situación económica y financiera.

Para lo anterior, cada Caja debe incorporar a su Sistema de Control interno todos los procesos y operaciones realizadas por gestión contable, tesorería y sus unidades relacionadas, internas o externas.

Asimismo, dichas unidades deben implementar procedimientos y medidas de control para que la contabilidad se encuentre debidamente registrada y asegurar que se apliquen las respectivas medidas de conciliación de la información, realizar pruebas de calidad de datos y documentar aquellas partidas que así Io requieran.

Además, cada Caja debe disponer de un Manual de Cuentas actualizado y aprobado para cada una de las cuentas que conforman el sistema contable de la misma, en donde se detallen los conceptos por los cuales se efectúan abonos y cargos, a la vez que se indique el ítem del Formato Único de Presentación de Estados Financieros (F.U.P.E.F) donde se registran.

5.2.3.4.11 La Gestión de los Procesos y el Control Interno

Las herramientas de control interno, esto es, los organigramas funcionales, la descripción de funciones, los manuales de operaciones, de procedimientos y sus controles, análisis de riesgos y evaluación de controles, deben estar documentados y disponibles para el personal encargado de las respectivas operaciones. Tal documentación, respectivamente aprobada y actualizada por sus respectivos dueños de procesos y la unidad encargada de la gestión de los procesos, debe estar también disponible para esta Superintendencia.

Los procesos a seguir en las rutinas administrativas deben estar descritos en documentos denominados Manuales de Procedimientos. Además, deben identificarse los cargos responsables de las decisiones y tareas asumidas en los procesos que se describan, incorporando también las actividades sistémicas, de control y de apoyo, tanto como las desarrolladas por la Caja de Compensación, como aquellas actividades externalizadas.

Los manuales deben ser coherentes con la normativa vigente, y con las estrategias y las políticas internas de la Caja, además de observar los principios de riesgos y de control interno, como la definición de los niveles jerárquicos, las responsabilidades de las personas que intervienen en las actividades y la segregación de funciones.

Dichos manuales deben ser codificados, dados a conocer y estar disponibles para todos los encargados de la ejecución de las actividades y procesos, y deben ser objeto de actualización permanente. Se debe además obtener confirmación de la recepción de éstos por parte de los destinatarios, incluidos los trabajadores que se van integrando a la Caja, en los procesos de inducción, según especialidad y procesos.

En la elaboración se deben contemplar, al menos, las siguientes líneas de negocio y/o procesos, considerando todas sus actividades componentes, ya sean éstos del tipo estratégico, relacionados a las líneas de negocios, o de apoyo:

Subsidio Maternal.
Asignación Familiar.
Prestaciones Adicionales.
Prestaciones Complementarias.
Crédito Social de Consumo - Microempresario - Educacional e Hipotecario.
Cuentas de ahorro metódico y voluntario.
Subsidio de Cesantía.
Subsidio de Incapacidad Laboral.
Captación y mantención de afiliados.
Operaciones y relación con empresas filiales.
Operaciones y relación con empresas proveedoras de servicios.
Otros servicios prestados por las Cajas, distintos a los anteriores.

Los manuales de procesos deben incluir las actividades de control insertas en sus actividades. Asimismo, deben ser objeto de una evaluación anual formal de su vigencia, por parte de los respectivos dueños de procesos con el fin de confirmar esto y que describan el proceso vigente.

La reevaluación periódica de los riesgos inherentes y residuales de estos procesos, con el fin de examinar la efectividad de los controles, debe ser realizada acorde a las normas impartidas por esta Superintendencia.

5.2.3.5 Información y comunicación

Las Cajas deben disponer de una corriente fluida y oportuna de información relativa a los acontecimientos internos y externos que permita a sus trabajadores cumplir con sus obligaciones y responsabilidades, en conocimiento de las ocurrencias en la organización respecto de las materias de Control Interno. La información pertinente debe identificarse y clasificarse previamente, para poder luego, según corresponda, comunicarse en tiempo y forma a los trabajadores, de modo de permitir que los trabajadores cumplan con sus labores.

La información debe ser de calidad apropiada, tanto en relevancia y exactitud. Además, el procedimiento de comunicación de información a los trabajadores debe estar contenido en el manual confeccionado para tal efecto.

Cada Caja debe asegurar una comunicación efectiva de la información precedentemente aludida. Esta comunicación debe llevarse a cabo en un sentido amplio, fluyendo hacia todos los niveles de la organización. A su vez, para que la información de niveles operativos se conozca adecuadamente hacia los niveles superiores, incluido el directorio, la Caja debe establecer canales efectivos de comunicación.

El directorio debe velar porque todo el personal reciba un claro mensaje por parte de la administración superior, respecto a que las responsabilidades de control deben asumirse cabalmente, ya sea de forma personal o Institucional.

5.2.3.6 Supervisión continua

La Caja debe asegurarse que el sistema de control interno continúe operando efectivamente y que las deficiencias detectadas sean informadas tanto a la alta administración, como al directorio. Esta labor es esencial dentro de la función de Control Interno.

La administración superior debe asegurar que el monitoreo del sistema de Control Interno se aplique a todas las actividades relevantes al interior de la Caja, incluidas las actividades de procesos que se encuentren externalizados, debiendo tomar las medidas pertinentes para que esta supervisión se realice sobre una base de controles continuos, preventivos y no esporádicos. Para ello, es necesario que el Sistema de Control Interno se complemente e integre con las exigencias de las normas emanadas por esta Superintendencia respecto a la gestión del riesgo en actividades externalizadas de las Cajas.

Se debe tener en cuenta la opinión de los Auditores Internos. Estos últimos deben proporcionar información sobre la carencia de controles internos, así como sobre la manera en que los controles internos existentes están funcionando y pueden ser mejorados.

Entre las funciones de Auditoría Interna se debe incluir el asesoramiento a la alta administración, de modo de permitir a ésta un mejor cumplimiento, tanto de las disposiciones legales y reglamentarias que las rigen, como de las instrucciones impartidas por esta Superintendencia y de los procedimientos administrativos adoptados para su control interno. Se incluye la identificación y evaluación, tanto del riesgo de incumplimiento, incluido el riesgo reputacional, como de las posibles repercusiones de cualquier modificación del entorno legal en las operaciones de la entidad.

5.2.3.7 Auditoría interna y el control interno

Las Cajas deben contar con una función de Auditoría Interna, de naturaleza y alcance relacionado a la complejidad y volumen de sus operaciones, encargada de asegurar el cumplimiento de todas las políticas y procedimientos aplicables, así como de revisar si sus políticas, prácticas y controles siguen siendo suficientes y apropiados.

Los resultados obtenidos de la Auditoría Interna respecto del Sistema de Control Interno deben ser reportados directamente al directorio, complementando la normativa existente respecto de la materia.

Los Auditores Internos tienen como misión vigilar y validar la efectividad del sistema de control interno y proponer las modificaciones necesarias, lo anterior no implica que tengan la responsabilidad de establecerlo, implementarlo o mantenerlo.

Las materias de control interno deben ser incorporadas a la respectiva Política de Auditoría de cada Caja de Compensación.

5.2.3.7.1. La función de Auditoría Interna respecto del Sistema de Control Interno

Las Cajas deben establecer un sistema eficaz de control interno, según la complejidad y magnitud de sus operaciones, la que debe ser revisada periódicamente por la Unidad de Auditoría interna.

La función de Auditoría Interna debe establecer en sus planes de auditoría la revisión del Sistema de Control Interno. Dicha revisión debe ser realizada en forma objetiva e independiente de las funciones operacionales. Para asegurar su independencia, la función de Auditoría Interna no debe realizar otras funciones operativas en la Caja o con entidades que prestan servicios a ésta, evitándose de este modo potenciales conflictos de interés.

Por su parte, la Unidad de Auditoría Interna debe trabajar en forma integrada, pero manteniendo su independencia, con las Unidades de Control Interno y Riesgos de la Caja, de modo de garantizar una correcta gestión de los riesgos y sus controles, para Io cual debe auditar, dentro de su plan anual, las actividades y resultados en la gestión de éstos.

El directorio debe velar que para el cumplimiento de esta función de Auditoría Interna se tenga:

Acceso irrestricto a todas las líneas de negocio de la Caja y sus procesos componentes (de la línea de negocios, de apoyo y estratégicos).
Evaluación de las funciones contratadas con proveedores externos.
Independencia apropiada, incluyendo las líneas de reporte hacia el directorio.
Recursos y personal suficiente, apropiadamente calificado y entrenado, con la experiencia necesaria para entender y evaluar el negocio que están auditando.
Una metodología que identifique los principales riesgos incurridos por la Institución para asignar nuevos recursos de mitigación, de conformidad con ello.

La Caja debe poner los informes de auditoría interna a disposición de la Superintendencia, cuando así se lo requiera.

Superintendencia de Seguridad Social Gobierno de Chile

Compendio de Normas que regulan a las Cajas de Compensación de Asignación Familiar

Búsqueda avanzada

5.2 TÍTULO II: CONTROL INTERNO