CAPÍTULO 3.4.

DE LA AUDITORÍA INTERNA

Para los efectos de los artículos 69, 70, 72, 337 y 362 de la LISF:

3.4.1.Como parte del sistema de gobierno corporativo cuya instrumentación y seguimiento es responsabilidad del consejo de administración, las Instituciones y Sociedades Mutualistas deberán contar con un sistema efectivo y permanente de auditoría interna encargado de la revisión y verificación del cumplimiento de la normativa interna y externa aplicable a la Institución o Sociedad Mutualista en la realización de sus actividades.

3.4.2.La función de auditoría interna deberá ser objetiva e independiente de las funciones operativas, y será efectuada por un área específica que forme parte de la estructura organizacional de la Institución o Sociedad Mutualista, o del Grupo Empresarial del que, en su caso, forme parte (en adelante, “Área de Auditoría Interna”).

El Área de Auditoría Interna será la encargada de revisar periódicamente, mediante pruebas selectivas, que:

I.Las políticas y normas aprobadas por el consejo de administración para el correcto funcionamiento de la Institución o Sociedad Mutualista, se apliquen de manera adecuada;

II.La Institución o Sociedad Mutualista cumpla con las disposiciones legales, reglamentarias y administrativas que le son aplicables, y

III.El sistema de contraloría interna funcione correctamente, sea consistente con los objetivos y lineamientos aplicables en la materia, y sea suficiente y adecuado para la actividad de la Institución o Sociedad Mutualista.

3.4.3.El Área de Auditoría Interna de las Instituciones y Sociedades Mutualistas tendrá las siguientes funciones:

I.Evaluar mediante pruebas sustantivas con bases selectivas, procedimentales y de cumplimiento, el funcionamiento operativo de las distintas áreas de la Institución o Sociedad Mutualista, así como su apego al sistema de contraloría interna y, en general, al sistema de gobierno corporativo, incluyendo la observancia del código de conducta a que se refiere la Disposición 3.1.3;

II.Revisar que los mecanismos de control interno implementados conlleven la protección de los recursos de la Institución o Sociedad Mutualista, el apego a las disposiciones legales, reglamentarias y administrativas aplicables y, por lo tanto, la protección de los intereses de los Usuarios del seguro y la fianza;

III.Verificar, mediante pruebas selectivas a los controles generales y aplicaciones informáticas, que los sistemas informáticos cuenten con mecanismos para preservar la integridad, confidencialidad y disponibilidad de la información, que eviten su alteración y cumplan con los objetivos para los cuales fueron implementados o diseñados. Asimismo, y sobre las mismas bases selectivas, vigilar dichos sistemas a fin de identificar fallas potenciales y verificar que éstos generen información suficiente, confiable, consistente, oportuna y relevante, y que ésta fluya adecuadamente;

IV.Verificar que la Institución o Sociedad Mutualista cuente con planes de contingencia y medidas necesarias para evitar pérdidas de información,               así como para, en su caso, su recuperación o rescate;

V.Aplicar pruebas selectivas para cerciorarse del nivel de suficiencia, confiabilidad, consistencia, oportunidad y relevancia de la información financiera, técnica, de Reaseguro, de Reafianzamiento y estadística, así como que ésta sea empleada para la toma de decisiones, y proporcionada en forma correcta y oportuna a las autoridades competentes;

VI.Valorar la eficacia de los procedimientos de control interno para prevenir y detectar actos u operaciones con recursos, derechos o bienes, que procedan o representen el producto de un probable delito, así como comunicar los resultados a las instancias competentes dentro de la Institución o Sociedad Mutualista;

VII.Verificar la existencia y operación de los procedimientos para la comunicación de  información relacionada con irregularidades, la atención de oportunidades o debilidades de control, y la atención de quejas y denuncias;

VIII.Facilitar a las autoridades competentes, al comité de auditoría en el caso de las Instituciones, al comisario designado en el caso de las Sociedades Mutualistas, así como a los auditores externos y actuarios independientes de la Institución o Sociedad Mutualista, la información que requieran para el cumplimiento de las funciones que les han sido encomendadas, a fin de que éstos puedan efectuar sus respectivos análisis para los efectos que correspondan, dependiendo de la oportunidad y alcance de los procedimientos seguidos por la propia Área de Auditoría Interna;

IX.Verificar la estructura organizacional autorizada por el consejo de administración, así como la efectiva segregación de funciones y ejercicio de facultades atribuidas a cada área de la Institución o Sociedad Mutualista, en relación con la independencia de las distintas funciones que lo requieran;

X.Verificar el procedimiento mediante el cual el Área de Administración de Riesgos dé seguimiento al cumplimiento de los límites, objetivos, políticas y procedimientos en materia de administración integral de riesgos, acorde con las disposiciones legales, reglamentarias y administrativas aplicables, así como con las políticas aprobadas por el consejo de administración en esa materia;

XI.Instrumentar procedimientos para evaluar y reportar, según corresponda, al consejo de administración, al comité de auditoría en el caso de las Instituciones, al comisario designado en el caso de las Sociedades Mutualistas, o al director general, el cumplimiento de los terceros que la Institución o Sociedad Mutualista contrate para la prestación de servicios necesarios para su operación, a las políticas para la contratación de servicios con terceros aprobadas por el consejo de administración, así como el cumplimiento por parte de aquéllos de la normativa aplicable relacionada con dichos servicios;

XII.Reportar, en términos de lo señalado en la Disposición 3.4.7, los resultados de las auditorías realizadas, así como proveer las pruebas o evidencias que sustentan sus observaciones y recomendaciones, al comité de auditoría en el caso de las Instituciones, o al comisario designado en el caso de las Sociedades Mutualistas, así como proporcionar los demás elementos, en el ámbito de sus responsabilidades, que permitan al comité de auditoría o al comisario designado, según corresponda, cumplir con sus funciones;

XIII.Dar seguimiento a las deficiencias o desviaciones relevantes detectadas en relación con la operación de la Institución o Sociedad Mutualista, con el fin de que sean subsanadas oportunamente, informando al respecto al comité de auditoría en el caso de las Instituciones, o al comisario designado en el caso de las Sociedades Mutualistas, para lo cual deberán elaborar un informe específico;

XIV.Presentar durante el último trimestre de cada año para aprobación del comité de auditoría en el caso de las Instituciones, o al comisario designado en el caso de las Sociedades Mutualistas, el programa de trabajo del Área de Auditoría Interna para el año siguiente, apegándose a lo establecido en la LISF y en las presentes Disposiciones. El programa de trabajo del Área de Auditoría Interna deberá asegurar que todas las actividades de la Institución o Sociedad Mutualista son auditadas dentro de un período de tiempo razonable, considerando un enfoque orientado al riesgo y una periodicidad adecuada para la revisión de las áreas estratégicas de la organización, y

XV.Proporcionar periódicamente al comité de auditoría en el caso de las Instituciones, o al comisario designado en el caso de las Sociedades Mutualistas, los informes de gestión respecto de la función de auditoría interna, en términos de lo señalado en las Disposiciones 3.4.7 y 3.4.8.

3.4.4.Con el propósito de asegurar un correcto funcionamiento del sistema de auditoría interna, el consejo de administración deberá:

I.Proveer al Área de Auditoría Interna de la facultad para obtener la información y tener acceso a todos los registros, archivos, datos, actividades y procesos, incluyendo la información relativa a la gestión de la Institución o Sociedad Mutualista, así como a las actas de sus comités operativos y de aquéllos que auxilien al consejo de administración en el diseño, operación, vigilancia y evaluación de las políticas y estrategias de los aspectos que integran el sistema de gobierno corporativo;

II.Instruir a las áreas de la Institución o Sociedad Mutualista para que informen al Área de Auditoría Interna cuando detecten deficiencias de control, pérdida de documentación o bienes de la Institución o Sociedad Mutualista, o la presunción de irregularidades. El Área de Auditoría Interna definirá los supuestos y parámetros para el cumplimiento de esta obligación, y

III.Garantizar que se destinen los recursos necesarios para que el Área de Auditoría Interna lleve a cabo su programa de trabajo.

3.4.5.El Área de Auditoría Interna deberá contar con procedimientos documentados para el desarrollo de sus funciones, contemplando, al menos, los aspectos siguientes:

I.La periodicidad con la que se realizarán las auditorías en cada área, tomando en cuenta el tipo de revisión que se efectúe;

II.Los procedimientos y metodologías para llevar a cabo las auditorías, así como para el seguimiento de las medidas correctivas implementadas, como consecuencia de las desviaciones detectadas en las propias auditorías;

III.Las políticas de rotación del personal asignado a las funciones de auditoría, de forma tal que se cuente con criterios para alternar las áreas sujetas a revisión, a fin de preservar su independencia y un enfoque objetivo de revisión;

IV.Las características mínimas que deberán contener los informes según el alcance y tipo de auditoría realizada;

V.La documentación de los avances y desviaciones en la realización de cada revisión en particular;

VI.El plazo máximo para, una vez realizada la auditoría, emitir el informe correspondiente, y

VII.La definición de la documentación soporte que deberá recabarse en las auditorías que se realicen y que permita revisar la efectividad del trabajo del Área de Auditoría Interna, así como reproducir los procesos de auditoría y los resultados alcanzados.

3.4.6.El Área de Auditoría Interna desempeñará las funciones señaladas en el presente Capítulo, observando las disposiciones legales, reglamentarias y administrativas aplicables a las operaciones de la Institución o Sociedad Mutualista y tomando en cuenta los manuales correspondientes. Los resultados del trabajo del Área de Auditoría Interna deberán hallarse documentados.

3.4.7.El responsable del Área de Auditoría Interna informará por escrito el resultado de su gestión, cuando menos semestralmente, al comité de auditoría en el caso de las Instituciones, y al comisario designado en el caso de las Sociedades Mutualistas. Lo anterior, sin perjuicio de hacer de su conocimiento, en forma inmediata, la detección de cualquier deficiencia o desviación que identifique en el ejercicio de sus funciones y que conforme al sistema de gobierno corporativo se considere significativa o relevante. Adicionalmente, copia de tales informes podrán entregarse a la dirección general y a otras áreas de la Institución o Sociedad Mutualista, cuando así lo estime conveniente el comité de auditoría en el caso de las Instituciones, o el comisario designado en el caso de las Sociedades Mutualistas, en atención a la naturaleza de la problemática detectada.

3.4.8.Adicionalmente del reporte al comité de auditoría en el caso de las Instituciones, o al comisario designado en el caso de las Sociedades Mutualistas, a que se refiere la Disposición 3.4.7, los resultados y recomendaciones derivadas de la función de auditoría interna deberán ser notificados al consejo de administración y a la dirección general de la Institución o Sociedad Mutualista, a través del comité de auditoría o del comisario designado, según corresponda, con el propósito de garantizar la aplicación de las medidas correctivas necesarias.

3.4.9.La evidencia de la operación del sistema de auditoría interna, incluyendo los reportes, resultados y las recomendaciones derivados del mismo, deberán estar documentados y disponibles en caso de que la Comisión los solicite para fines de inspección y vigilancia.

3.4.10.En términos de lo previsto en la fracción III del artículo 69 de la LISF, cuando el área que efectúe la función de auditoría interna se encuentre adscrita a una persona moral integrante del Grupo Empresarial del que la Institución de que se trate forme parte, dicha persona moral estará sujeta a la inspección y vigilancia de la Comisión, respecto de las actividades previstas en este Capítulo.