Informe de Auditoría Interna para ESI: Requisitos Esenciales y Normativa

Descubre los puntos clave y la base regulatoria que rigen los informes que se remiten a la CNMV

Aspectos Destacados

Contenido Esencial: Objetivos, alcance, metodología, hallazgos, recomendaciones y conclusiones.
Marco Normativo: Cumplimiento con leyes, reales decretos y circulares como la Circular 1/2014, 1/2021 y el Real Decreto 217/2008.
Gobernanza y Gestión del Riesgo: Evaluación de sistemas de control interno, estructura organizativa y gestión de riesgos.

Puntos Clave del Informe de Auditoría Interna

El informe de auditoría interna de una Empresa de Servicios de Inversión (ESI) que debe remitir a la Comisión Nacional del Mercado de Valores (CNMV) se estructura en diversos apartados que abarcan desde la definición de objetivos y alcance hasta la evaluación de controles internos y recomendaciones para mitigar riesgos. A continuación, se detallan los aspectos fundamentales que debe incluir el informe:

1. Objetivos y Alcance

El informe debe comenzar definiendo claramente sus objetivos. Estos incluyen:

Definir el propósito de la auditoría, que abarca el cumplimiento normativo, la verificación de la eficacia del sistema de control interno y la identificación de áreas de mejora.
Delimitar el alcance de la auditoría, especificando las áreas y procesos evaluados y reconocidos límites en la revisión.

2. Metodología y Procedimientos Aplicados

En este apartado se debe detallar la metodología empleada durante la auditoría. Esto incluye la descripción de los procedimientos, pruebas realizadas y fuentes de información utilizadas para el análisis. Es importante que se documente de forma que se pueda replicar el proceso y se garantice la objetividad del informe.

3. Hallazgos y Observaciones

El informe debe incluir un desglose preciso de los hallazgos, que está enfocado en:

Identificar desviaciones y deficiencias en los controles internos.
Detallar incumplimientos normativos que hayan sido detectados durante la auditoría.
Clasificar los riesgos identificados según su impacto potencial (alto, medio, bajo).

4. Evaluación del Sistema de Control Interno

Los sistemas de control interno de la ESI deben ser evaluados en función de su eficacia en asegurar el cumplimiento de las normativas vigentes. Esta evaluación comprende:

Revisión de la función de auditoría interna, gestión de riesgos y cumplimiento normativo.
Análisis de la estructura organizativa, definiendo responsabilidades y la segregación de funciones.

5. Recomendaciones y Plan de Acción

Tras identificar las deficiencias y riesgos, el informe debe ofrecer recomendaciones claras y un plan de acción para su mitigación. Estos deben incluir:

Medidas correctivas y propuestas para mejorar los controles internos.
Plazos sugeridos para la implementación de dichas medidas.

6. Resumen Ejecutivo y Conclusiones

Una síntesis en formato de resumen ejecutivo permite a la alta dirección y a la CNMV obtener una visión global y comprensible de los hallazgos críticos, implicaciones y propuestas para mejorar la gestión de riesgos y el gobierno corporativo.

7. Anexos y Documentación de Respaldo

Este apartado incluye cualquier documentación adicional que respalde los hallazgos del informe, tales como registros, evidencias, gráficos y otros informes complementarios que permitan verificar de manera concreta las observaciones realizadas.

Marco Legal y Regulatorio

El contenido del informe de auditoría interna debe cumplir y hacer referencia a la normativa vigente que regula el funcionamiento de las ESI. Estas son las principales leyes, reales decretos y circulares que deben contemplarse:

Leyes y Reglamentos

Ley 24/1988, de 28 de julio, del Mercado de Valores: Establece la regulación básica del mercado español de valores y el marco para la supervisión de las ESI.
Ley 35/2003: Regula, entre otros aspectos, la actuación de las instituciones de inversión colectiva, ampliando el contexto normativo en el que operan las ESI.

Reales Decretos

Real Decreto 217/2008, de 15 de febrero: Define el régimen jurídico de las empresas de servicios de inversión, incluyendo la delegación de funciones de control y medidas para la gestión de riesgos.
Real Decreto 1082/2012, de 13 de julio: Regula aspectos específicos de la gestión de riesgos y la implementación de sistemas de control en el marco de la Ley 35/2003.

Circulares de la CNMV

Circular 1/2014, de 26 de febrero: Establece de manera pormenorizada los requisitos de organización interna y las funciones de control de las entidades que prestan servicios de inversión. Es uno de los documentos clave para el informe de auditoría interna.
Circular 1/2021, de 25 de marzo: Modifica ciertos aspectos contables y de presentación de información de las ESI. Además, recalca la importancia de que el informe se elabore y se presente de manera uniforme, facilitando su análisis tanto interno como por parte de la CNMV.
Circular 1/2012: Dirige el trámite electrónico del Informe de Control Interno Individual y Consolidado (ICI) para las ESI, definiendo los mecanismos de envío a través de plataformas habilitadas por la CNMV.

Tabla Resumen: Componentes del Informe y Normativa Aplicable

Componente del Informe	Descripción	Normativa y Referencias
Objetivos y Alcance	Definir el propósito, áreas evaluadas y los límites de la auditoría.	Ley 24/1988, Real Decreto 217/2008
Metodología	Procedimientos, pruebas y fuentes de información utilizadas en la auditoría.	Normativa de auditoría interna
Hallazgos y Observaciones	Identificación, clasificación y análisis de desviaciones y riesgos.	Circular 1/2014, Circular 1/2012
Evaluación de Sistemas	Revisión de los controles internos, gestión de riesgos y estructura organizativa.	Ley 35/2003, Real Decreto 1082/2012
Recomendaciones y Plan de Acción	Propuestas correctivas con plazos de implementación para mejorar controles.	Circular 1/2014, Buen Gobierno Corporativo
Resumen Ejecutivo	Síntesis de hallazgos y aspectos críticos para la alta dirección.	Circular 1/2021, Normas de Reporting

Detalles Adicionales del Informe

Estructura Organizativa y Roles

Es fundamental que el informe detalle la estructura interna de la ESI, explicitando responsabilidades y funciones. Se debe incluir información sobre:

La separación de funciones y la independencia de la auditoría interna.
La integración de sistemas de cumplimiento normativo y gestión de riesgos.
La coordinación con otros departamentos encargados de la supervisión y la toma de decisiones.

Gestión de Riesgos y Cumplimiento Normativo

La evaluación del sistema de gestión de riesgos es uno de los pilares del informe. Se debe realizar un análisis detallado que contemple:

La identificación sistemática de riesgos inherentes a la operación de la ESI.
La evaluación y cuantificación de dichos riesgos, determinando su potencial impacto.
La implementación de medidas para la mitigación y la mejora de los controles internos.

Comunicación con la CNMV

Dado que el informe se debe remitir a una autoridad reguladora, es imprescindible que incluya la documentación de:

Cualquier interacción formal o comunicación que se haya establecido con la CNMV en relación con hallazgos o requerimientos adicionales.
El cumplimiento de los protocolos para el envío electrónico de informes a través de plataformas oficiales, como el servicio CIFRADOC.

Anexos y Evidencias

La inclusión de anexos es determinante para dotar de mayor transparencia y soporte al análisis realizado. Entre ellos se pueden encontrar:

Documentos de respaldo que evidencien las pruebas realizadas.
Diagramas, gráficos y flujogramas que muestren la estructura organizativa y el proceso de auditoría.
Copias de comunicaciones previas con la CNMV y otros organismos reguladores.

Referencias Relevantes

A continuación se listan algunas de las referencias normativas y documentos consultados para la elaboración de un informe de auditoría interna en el ámbito de una ESI: