Cómo automatizar controles SOX durante el proceso de cierre contable

Automatizar controles SOX durante el cierre no implica llevar todo el marco de cumplimiento a una nueva plataforma. El mayor potencial suele estar en controles que se repiten cada periodo sobre conciliaciones, asientos y actividades del cierre, especialmente cuando dependen de reglas claras de aprobación, segregación de funciones, evidencia o cumplimiento de fechas.

Para estos controles existen distintas alternativas: utilizar capacidades del ERP, incorporar herramientas para gestionar riesgos y cumplimiento o llevar parte del control a plataformas especializadas en automatización del cierre contable. La elección depende principalmente de qué parte del control se quiere automatizar y dónde se ejecuta actualmente.

Cuatro formas de automatizar los controles SOX durante el cierre

El punto de partida no es igual para todas las organizaciones. Algunas necesitan incorporar los controles directamente a la ejecución; otras reducir el seguimiento manual de aprobaciones; gestionar un gran volumen de controles por excepción; o evitar reconstruir la evidencia cuando llega auditoría.

Estas cuatro situaciones llevan a diferentes formas de automatizar los controles SOX durante el cierre. A continuación, analizamos cómo funciona cada una y qué tipo de solución puede ayudar a implementarla:

1. Integrar los controles SOX directamente en el proceso de cierre
2. Automatizar aprobaciones y segregación de funciones
3. Gestionar los controles SOX por excepciones
4. Generar la evidencia del control durante su ejecución

1. Integrar los controles SOX directamente en el proceso de cierre

Una de las alternativas es convertir determinadas políticas de control en reglas que el sistema aplique dentro de la conciliación, el asiento o la actividad que están controlando.

Por ejemplo, una conciliación puede exigir preparador y aprobador antes de certificarse; un asiento puede dirigirse a diferentes niveles de autorización según importe o naturaleza; y una tarea crítica puede requerir determinada documentación antes de completarse. Así, el control forma parte del proceso y puede validarse antes de que la actividad continúe.

Existen diferentes tecnologías para hacerlo. El ERP puede aplicar controles sobre determinadas transacciones; las herramientas de Gobierno, Riesgo y Cumplimiento (GRC) permiten administrar riesgos, políticas, controles y pruebas de cumplimiento a nivel corporativo; y las plataformas especializadas en cierre contable permiten incorporar controles directamente sobre conciliaciones, asientos y actividades del cierre.

Para controles SOX vinculados directamente al cierre, una plataforma especializada como BlackLine ofrece una ventaja: el control se incorpora al mismo proceso contable que debe controlar.

En lugar de depender únicamente del ERP para controles transaccionales o gestionar el cumplimiento de forma separada en una herramienta GRC. Una herramienta especializada en cierre contable, permite aplicar flujos de aprobación, segregación de funciones, certificaciones, evidencia y trazabilidad directamente sobre conciliaciones, asientos y tareas del cierre.

Este enfoque tiene mayor sentido cuando el control se repite en cada cierre y existe una regla suficientemente clara para incorporarla directamente al proceso.

2. Automatizar aprobaciones y segregación de funciones

Cuando las políticas de aprobación ya están definidas, una parte importante del trabajo manual puede eliminarse convirtiendo esas reglas en flujos que se ejecuten dentro del proceso.

Una solución puede impedir que una misma persona prepare y apruebe una conciliación, dirigir un asiento al nivel de autorización correspondiente o mantener una actividad pendiente mientras falte una aprobación obligatoria. Así, reglas como la separación entre preparador y aprobador o los niveles de autorización según importe, entidad o tipo de operación dejan de depender de comprobaciones manuales en cada cierre.

UGI Utilities, compañía estadounidense de servicios de electricidad y gas que utiliza SAP, incorporó BlackLine para gestionar conciliaciones, actividades del cierre y controles relacionados con cumplimiento. Los usuarios ejecutan los controles, adjuntan documentación y completan aprobaciones mediante flujos electrónicos y las certificaciones quedan registradas dentro del propio proceso.

Este enfoque tiene mayor sentido cuando las reglas ya están establecidas, pero todavía se dedica demasiado tiempo a ejecutar aprobaciones, perseguir pendientes y demostrar posteriormente que las responsabilidades definidas se respetaron.

3. Gestionar los controles SOX por excepciones

Cuando existe un volumen elevado de controles, automatizar no debería significar trasladar el mismo checklist a una plataforma. El objetivo es que aquello que cumple las reglas avance normalmente y que el seguimiento se concentre en lo que requiere intervención.

Una solución puede identificar automáticamente aprobaciones pendientes, controles vencidos, documentación obligatoria faltante, actividades rechazadas o excepciones que requieren remediación. En lugar de revisar todas las actividades para descubrir dónde existe un problema, el seguimiento comienza directamente por aquello que se desvió de las condiciones esperadas.

BlackLine permite relacionar controles con riesgos, realizar pruebas, identificar incidencias y gestionar actividades de remediación. La plataforma contempla, entre otros, casos de uso relacionados con SOX 302 y SOX 404.

El caso de Delta Air Lines, compañía con un equipo financiero de más de 700 personas, utilizaba procesos manuales, correo y Excel para diferentes actividades de cierre y cumplimiento. Con BlackLine centralizó procesos de conciliación y compliance y obtuvo visibilidad sobre más de 40.000 conciliaciones y 60.000 tareas SOX mensuales y trimestrales.

En este escenario, el valor está en identificar rápidamente qué controles necesitan atención, en lugar de dedicar recursos a comprobar aquellos que avanzan conforme a lo esperado.

4. Generar la evidencia del control durante su ejecución

Automatizar un control también debería facilitar demostrar posteriormente qué se hizo, quién intervino, qué aprobación recibió, qué soporte lo respalda y cómo se resolvieron las excepciones.

Cuando esta información se genera y conserva dentro del mismo proceso, se crea un audit trail o historial de auditoría que permite consultar la ejecución completa del control sin reconstruirla posteriormente a partir de correos, hojas de cálculo y carpetas.

BlackLine mantiene este historial sobre los procesos gestionados en la plataforma y permite asociar documentación, responsables, aprobaciones y certificaciones con las actividades correspondientes.

Otro ejemplo es Scotts Miracle-Gro, compañía global de productos para césped y jardinería. Antes de automatizar sus procesos, la evidencia relacionada con conciliaciones podía encontrarse distribuida entre hojas de cálculo, carpetas y archivos físicos. Después de incorporar BlackLine para automatizar conciliaciones, tareas y asientos contables, la compañía reportó que la auditoría de muchos de sus controles SOX podía realizarse prácticamente sin intervención del equipo contable cuando la documentación estaba completa.

Este enfoque tiene mayor sentido cuando los controles se ejecutan correctamente, pero preparar y entregar la evidencia continúa consumiendo tiempo durante la auditoría.

¿Qué controles SOX conviene automatizar primero?

No todos los controles ofrecen la misma oportunidad de automatización. Los primeros candidatos suelen ser aquellos que combinan alto volumen, repetición y reglas claramente definidas.

• Controles SOX sobre conciliaciones de cuentas

Cuando existen criterios estandarizados de preparación, revisión, aprobación, certificación o materialidad, estas reglas pueden incorporarse al proceso de conciliación. Así, la intervención puede concentrarse en cuentas o diferencias que realmente requieren análisis.

• Controles SOX sobre aprobación de asientos contables

Si los niveles de autorización dependen de condiciones conocidas como importe, tipo de asiento o entidad, el flujo puede dirigir cada asiento al responsable correspondiente y conservar automáticamente la evidencia de su aprobación.

• Controles SOX de segregación de funciones

Cuando están claramente definidos los roles incompatibles, la tecnología puede aplicar esas restricciones durante la ejecución. Por ejemplo, puede impedir que una misma persona prepare y apruebe determinada conciliación.

• Controles SOX sobre actividades críticas del cierre

Las actividades sujetas a responsables, fechas, dependencias o documentación obligatoria pueden monitorearse para detectar retrasos, incumplimientos o requisitos pendientes antes de finalizar el cierre.

• Controles SOX de evidencia y certificación

Cuando cada periodo es necesario demostrar quién ejecutó y aprobó una actividad y con qué documentación, mantener esa información asociada al propio proceso reduce el trabajo posterior de preparación para auditoría.

La tecnología puede identificar estas situaciones, dirigirlas al responsable correspondiente y conservar la trazabilidad de la decisión. La oportunidad está en automatizar aquello que responde a reglas y utilizar el tiempo del equipo para aquello que realmente requiere análisis.

BlackLine permite automatizar estos controles directamente dentro de los procesos del cierre contable, incorporando reglas, aprobaciones, segregación de funciones, evidencia y trazabilidad en conciliaciones, asientos y tareas. Así, el equipo puede concentrarse en las excepciones que realmente requieren análisis, mientras el cumplimiento queda documentado durante la propia ejecución del cierre.

FAQs

¿Qué controles SOX se pueden automatizar durante el cierre contable?

Los controles con mayor potencial de automatización son aquellos basados en reglas repetitivas y claramente definidas, como aprobaciones de conciliaciones, segregación de funciones, autorización de asientos, certificaciones, requisitos de evidencia, cumplimiento de tareas críticas y seguimiento de excepciones.

¿Cómo automatizar controles SOX en conciliaciones contables?

Una plataforma de automatización de conciliaciones puede incorporar reglas sobre preparadores y aprobadores, materialidad, certificación, documentación obligatoria y tratamiento de excepciones. Esto permite ejecutar parte del control dentro de la propia conciliación y conservar su trazabilidad.

¿Cómo automatizar la segregación de funciones para SOX?

La segregación puede incorporarse mediante roles y flujos de aprobación que impidan combinaciones incompatibles. Por ejemplo, el sistema puede evitar que la persona que prepara una conciliación sea también quien la aprueba.

¿Cómo automatizar la evidencia para una auditoría SOX?

La evidencia puede generarse durante la ejecución si la plataforma conserva el soporte utilizado, las aprobaciones, las personas que intervinieron, las excepciones detectadas y el historial de cambios asociado al control. De esta forma, no es necesario reconstruir posteriormente su ejecución para auditoría.

¿Qué es un software GRC y para qué se utiliza?

Un software de Gobierno, Riesgo y Cumplimiento (GRC) permite administrar de forma centralizada riesgos, políticas, controles, pruebas y actividades de cumplimiento de diferentes procesos de una organización. Su alcance suele ser más amplio que el de una plataforma especializada en cierre contable.

¿Cuál es la diferencia entre un software GRC y un software de cierre contable para SOX?

Un software GRC se utiliza para gestionar el marco general de riesgos y controles. Un software especializado en cierre contable permite aplicar y documentar determinados controles directamente sobre conciliaciones, asientos y actividades del cierre. Ambas soluciones pueden utilizarse de manera complementaria.

¿BlackLine permite automatizar controles SOX?

BlackLine es una plataforma especializada en automatización y control del cierre contable. Sus soluciones permiten incorporar flujos de aprobación, segregación de funciones, certificaciones y trazabilidad en procesos como conciliaciones, asientos y actividades del cierre. BlackLine Compliance añade capacidades para relacionar estos procesos con controles, riesgos, pruebas e incidencias.