RESTRICTED  
  
WT/BFA/W/451  
15 de junio de 2018 
(18-3623) Página: 1/32 
Comité de Asuntos Presupuestarios,  
Financieros y Administrativos   
 
   
 
 
 
 
INFORME ANUAL  
SOBRE LAS ACTIVIDADES DE LA OFICI NA DE SUPERVISIÓN INTERNA (OSI)  
2017 -2018  
 
  WT/BFA/W/451  
 
- 2 - 
 
  Índice  
 
1   ANTECEDENTES  ................................ ................................ ................................ ...........  3 
2   INDEPENDENCIA DE LA OSI ................................ ................................ ........................  3 
3   PRESUPUESTO Y DOTACI ÓN DE PERSONAL  ................................ ................................ . 3 
3.1   Presupuesto  ................................ ................................ ................................ ....... 3 
3.2   Dotación de personal  ................................ ................................ ...........................  4 
4   ACTIVIDADES REALIZAD AS POR LA OSI DESDE JUNIO DE 2017  ................................ . 4 
4.1   Consolidación de los fundamentos de la OSI  ................................ ...........................  5 
4.2   Finalización del Plan de Auditoría Interna de la OSI para 2017 -2018 .........................  6 
4.3   Realización de investigaciones internas  ................................ ................................ .. 7 
4.4   Prestación de apoyo y asesoramiento al personal directivo superior, a los 
funcionarios y a otros interesados  ................................ ................................ ................  8 
5   ACTIVIDAD DE SUPERVI SIÓN INTERNA PREVIST A PARA 2018 -2019  ..........................  9 
 
ANEXO 1 - PLAN DE AUDITORÍA IN TERNA PARA 2017 -2018  ................................ ..........  11 
ANEXO 2 - PLAN DE AUDITORÍA IN TERNA PARA 2018 -2019  ................................ ..........  12 
ANEXO 3 - AUTOEVALUACIÓN DE LA  CALIDAD DE LA AUDITORÍA 
INTERNA  - 2018  ................................ ................................ ................................ .............  13 
ANEXO 4 - SITUACIÓN DE LAS REC OMENDACIONES DE AUDI TORÍA INTERNA (1º 
DE JUNIO DE 2018)  ................................ ................................ ................................ ........  21 
ANEXO 5 - RECOMENDACIONES DE A UDITORÍA QUE TODAVÍA  NO SE HAN 
CERRADO (1º  DE JUNIO DE 2018)  ................................ ................................ .................  22 
ANEXO 6 - LISTA DE SIGLAS  ................................ ................................ ..........................  32 
 
 
 WT/BFA/W/451  
 
- 3 - 
 
  1  ANTECEDENTES  
1.1.  La Oficina de Supervisión Interna (OSI), establecida en noviembre de 2015, se encarga de 
llevar a cabo auditorías internas, investigaciones y cualquier otro tipo de evaluaciones que puedan 
ser necesarias con respecto a la gestión, el personal y los recursos de la OMC, y de realizar una 
evaluación profesional, independiente, objetiva y documentada de las prá cticas de gestión, los 
gastos, el control presupuestario y las alegaciones de falta de conducta.  
1.2.  De conformidad con el Memorándum Administrativo Nº 9741, la OSI presentará anualmente 
al Comité de Asuntos Presupuestarios, Financieros y Administrativos un in forme en que ofrecerá, 
para su conocimiento, un panorama general de las actividades realizadas durante el año, indicando 
cualquier circunstancia que considere que pueda haber afectado a su independencia u 
obstaculizado de otro modo su capacidad de cumplir sus funciones.  
1.3.  En la primera sección del presente informe, el Jefe de la OSI confirma la independencia de la 
actividad de supervisión interna en la OMC. La segunda sección del documento está dedicada al 
presupuesto y la dotación de personal de la Oficina. En la tercera sección se detallan las 
actividades realizadas por la OSI durante el año. Por último, en la última sección del informe se 
describen las prioridades de la OSI para 2018 -2019.  
2  INDEPENDENCIA DE LA OSI  
2.1.  Las Normas Internacionales para el Ejercici o Profesional de la Auditoría Interna (en adelante, 
las "Normas del IAI ")2 exigen que la OSI sea independiente y esté libre de injerencias al 
desempeñar su trabajo, y confirme su independencia ante un nivel jerárquico tal dentro de la 
organización que permita a la actividad de supervisión interna cumplir con sus responsabilidade s. 
Así pues, el Jefe de la OSI tiene la obligación de informar anualmente al Director General y al 
Comité de Asuntos Presupuestarios, indicando cualquier circunstancia que pueda haber afectado a 
su independencia.1 
2.2.  La OSI tiene independencia funcional y ope racional respecto de la Secretaría y de los 
Miembros de la OMC en el cumplimiento de sus deberes.  
2.3.  El Jefe de la OSI ratifica que no ha habido circunstancias que hayan afectado, de hecho o en 
apariencia, a la independencia de la Oficina, o que hayan obstac ulizado su capacidad para 
desempeñar efectivamente las funciones y responsabilidades que le corresponden de manera 
imparcial, objetiva e independiente. Ni el Director General ni ningún otro funcionario superior de la 
OMC han tratado de influir o interferir  de otro modo en la labor de la OSI.  
2.4.  La OSI ha recibido acceso pleno e irrestricto a todos los registros y funcionarios de la OMC. El 
Jefe de la Oficina ha obtenido acceso directo e irrestricto al Director General, al personal directivo 
superior y al Presi dente del Comité de Asuntos Presupuestarios.  
3  PRESUPUESTO Y DOTACIÓN DE PERSONAL  
3.1.  De conformidad con la Norma 2030 del IAI, Administración de recursos , el Jefe de la Oficina 
debe asegurar que los recursos de supervisión interna sean apropiados, suficientes y eficazmente 
asignados para cumplir con el plan de trabajo de supervisión interna.  
3.1  Presupuesto  
3.2.  La Oficina de Supervisión Interna tiene un presupuesto de operaciones propio, que fue 
determinado por el Director General en el momento en el que el Jefe de la OSI asumió sus 
funciones. El presupuesto asignado a la OSI para 2017 y 2018 se detalla en el cua dro 1 - 
Presupuesto y costos reales de la OSI  (en francos suizos ), junto con los costos realmente 
efectuados durante el período (hasta el 30 de abril de 2018).   
                                                
1 Memorándum Administrativo Nº 974 - Oficina de Supervisión Interna, OFFICE(15)/101, de fecha 30  de 
noviembre de 2015.  
2 Las Normas Internacionales para el Ejercicio Profesional de la Auditoría Interna , promulgadas por el 
Instituto de Auditores Internos (IAI), proporcionan un marco obligatorio, basado en principios, para ejercer y 
promover la auditoría interna. Para más información: https://na.theiia.org/standards -guidance . WT/BFA/W/451  
 
- 4 - 
 
  Cuadro 1 - Presupuesto y costos reales de la OSI (en CHF)  
 2017  2018  
Partida  Presupuesto  Costos 
reales  Presupuesto  Costos 
reales  
(30 de 
abril)  
Personal/sueldo (incluida la pensión)  410.900  350.568  410.900  115.291  
Contratos de servicios especiales  15.000  0 15.000  0 
Transporte aéreo y por ferrocarril  8.000  7.068  8.000  0 
TOTAL  433.900  357.636  433.900  115.291  
 
3.3.  La OSI gastó el 82 % de su presupuesto en 2017 y ha utilizado el 27 % del presupuesto 
en 2018 (hasta el 30 de abril de 2018). El superávit presupuestario se debió a las dificultades con 
que tropezó la Oficina para conseguir todo el personal que necesitaba (véase infra). 
3.2  Dotación de personal  
3.4.  Actualmente, la OSI está integrada por el Jefe de la Oficina (grado 10) y un Ayudante 
Administrativo (grado 4).  
3.5.  Sobre la base de los criterios de referencia proporcionados por la Dependencia Común de 
Inspección (DCI) del sistema de las Naciones Unidas y por otras organizaciones internacionales 
con respecto a la dotación de personal de supervisión interna, y teniendo en cuenta el mandato de 
la OSI en la OMC, se decidió reforzar la Oficina con al menos otro funcionario profesional de 
supervisión interna.  
3.6.  Habida cuenta del actual límite al número de funcionario s de la OMC y del hecho de que la 
División de Recursos Humanos (DRH) tiene que establecer prioridades al asignar los puestos entre 
las diversas Divisiones que los solicitan, la OSI decidió contratar a un Auditor Interno/Investigador 
de la Organización Inte rnacional del Trabajo (OIT), que fue destinado a la OMC por un período de 
seis meses (de agosto de 2017 a febrero de 2018).  
3.7.  La OMC y la OIT acordaron prorrogar el contrato del Auditor Interno/Investigador (de mayo 
de 2018 a diciembre de 2019), sobre la bas e de un préstamo entre organismos. 
Lamentablemente, en mayo de 2018 se informó a la OSI de que la OIT no había llegado a un 
acuerdo a nivel interno con el titular del puesto sobre las condiciones del préstamo entre 
organismos.  
3.8.  Asimismo, el Ayudante Adminis trativo (grado 4) de la OSI tuvo un problema de salud en 
noviembre de 2017 y se halla desde entonces con licencia prolongada de enfermedad.  
3.9.  Habida cuenta de las circunstancias mencionadas supra , la OSI no contó con los recursos 
suficientes para lograr alg unos de sus objetivos de trabajo para 2017 -2018 (véanse infra). La 
actual limitación de recursos ha repercutido en la capacidad de la Oficina de cumplir plenamente 
su mandato.  
3.10.   No obstante, el Jefe de la Oficina se esforzará por concluir cuanto antes el pro ceso de 
contratación de un Auditor Interno/Investigador (preferiblemente de grado 7 o superior).  
4  ACTIVIDADES REALIZADAS POR LA OSI DESDE JUNIO DE 2017  
4.1.  Utilizando un enfoque basado en el riesgo, la OSI se fijó los siguientes objetivos 
para 2017-2018: a) con solidar los fundamentos de la Oficina; b) completar las tareas incluidas en 
el Plan de Auditoría Interna de la Oficina para 2017 -2018; c) realizar  investigaciones internas; 
y d) prestar apoyo y asesoramiento al personal directivo superior, a los funcionari os y a otros 
interesados.3 
                                                
3 Véase el documento WT/BFA/W/408 - Informe sobre el Plan de Actividades para 2017 -2018, de fecha 
14 de febrero de 2017.  WT/BFA/W/451  
 
- 5 - 
 
  4.1  Consolidación de los fundamentos de la OSI  
4.2.  La OSI centró sus esfuerzos en reforzar el marco reglamentario en el que opera y en seguir 
mejorando la protección de los derechos individuales de los funcionarios:  
a. La OSI examinó el Procedimiento provisional para las investigaciones administrativas y 
medidas disciplinarias4 y propuso varias modificaciones para armonizarlo en mayor 
medida con las Directrices Uniformes para Investigaciones5 y con las buenas prácticas 
aplicadas en otras organizaciones internacionales. El procedimiento revisado está siendo 
examinado por el Comité Consultivo Mixto (CCM).6 
b. Se ha redactado una Política Antifraude, en la que se establece qué se entiende por 
fraude, se aclaran las responsabilidades en los casos  de fraude y se describe el enfoque 
de la OMC para la prevención y el control del fraude. Además, el proyecto de política 
pone de relieve el compromiso de la OMC de tener "tolerancia cero con el fraude". Este 
proyecto de política también está siendo examin ado por el CCM.  
c. La Política de Lucha contra el Acoso7, elaborada por la División de Recursos Humanos 
(DRH), ha sido comunicada recientemente a todos los funcionarios, promoviéndose así 
un entorno de trabajo más eficiente, sin discriminación, acosos ni abu sos de autoridad.  
4.3.  La OSI, conjuntamente con la División de Administración y Servicios Generales (AGSD), 
trabajó también en el establecimiento de un Marco de Control Interno8 en la OMC. El objetivo de 
ese marco es brindar garantías razonables al Director Ge neral en cuanto al logro de los objetivos 
de la Organización y guiar a la Secretaría de la OMC en el establecimiento de controles internos, a 
fin de velar por que a) las operaciones se ejecuten de manera ética, económica, eficiente y eficaz; 
b) se cumplan las obligaciones en materia de rendición de cuentas; c) los activos y recursos de la 
OMC se preserven frente a pérdidas, utilización indebida o daños; y d) las operaciones se lleven a 
cabo de conformidad con los reglamentos, las normas, las políticas y los  memorandos 
administrativos aplicables. El Marco de Control Interno propuesto está siendo examinado por el 
Director General.  
4.4.  Por último, la OSI llevó a cabo un ejercicio de autoevaluación de la calidad, cuyo objetivo era 
evaluar la conformidad de la activi dad de la Oficina con las Normas del IAI. Los resultados del 
ejercicio de autoevaluación de la calidad se resumen en el anexo 3 - Autoevaluación de la calidad 
de la auditoría interna - 2018.  
4.5.  Según los resultados de la autoevaluación de la calidad, la actividad de la OSI cumple 
plenamente el 82 % de las Normas del IAI, es decir, 40 de las 49 Normas del IAI, y parcialmente 
las otras nueve (9).  
4.6.  A fin de cumplir plenamente todas las Normas del IAI, la OSI identificó las siguientes esferas 
susceptibles de m ejora:  
a. Se debe finalizar y aprobar la Carta de Supervisión Interna, en la que se definen el 
propósito, la autoridad y la responsabilidad de la Oficina (Norma 1000 del IAI). La OSI 
ha incluido la elaboración de este documento en su lista de prioridades para  2018-2019.  
                                                
4 Procedimiento provisional para las investigaciones administrativas y m edidas disciplinarias , 
OFFICE(14)/17, de fecha 16 de octubre de 2014.  
5 Para más información: http://www.conf -int-investigators.org/?page_id=415 . 
6 El Comité Consultivo Mixto (CCM) asesora al Director General sobre las cuestiones relacionadas con el 
establecimiento y la modificación de las políticas relativas al personal, las condiciones de trabajo y el bienestar 
general del personal, así como con el establecimiento o enmienda del Estatuto d el Personal, el Reglamento del 
Personal y los Memorandos Administrativos dirigidos al personal.  
7 Memorándum Administrativo Nº 985 - Derecho a trabajar en un entorno sin discriminación, acosos ni 
abusos de autoridad,  OFFICE(18)/37, de fecha 30 de abril de 2018.  
8 El Marco de Control Interno se basa en el modelo propuesto por el Comité de Organizaciones 
Patrocinadoras de la Comisión Treadway  (COSO) y en el modelo de Tres Líneas de Defensa , promulgado por el 
Instituto de Auditores Internos (IAI).  WT/BFA/W/451  
 
- 6 - 
 
  b. Los recursos de personal de la OSI deben ser suficientes y eficazmente asignados 
(Normas 2000, 2030 y 2230 del IAI). Como se ha indicado anteriormente, la OSI tiene 
la intención de contratar a un Auditor Interno/Investigador lo antes posible.  
c. Se debe seguir elaborando el Programa de Garantía de la Calidad (Normas 1310, 1311 
y 1320 del IAI). Una vez que la Oficina esté en pleno funcionamiento y haya alcanzado 
su nivel deseado de madurez (dentro de 2 -4 años), se exigirá una evaluación externa de 
la calidad.  
d. Se deben evaluar el diseño, implantación y eficacia de los objetivos, programas y 
actividades de la OMC relacionados con la ética (Norma 2110 -A1 del IAI). Esta 
evaluación no se considera prioritaria en esta etapa, por lo que se considerará cuand o se 
preparen futuros planes de auditoría interna.  
e. Se debe evaluar la eficacia de los procesos de gestión de riesgos de la OMC 
(Norma  2120 del IAI). Esta evaluación se ha incluido en el Plan de Auditoría Interna 
para 2019.  
4.7.  La OSI está decidida a prestar se rvicios profesionales de alta calidad a las partes interesadas. 
Por consiguiente, proseguirá sus esfuerzos para cumplir plenamente el Código de Ética y las 
Normas del IAI, y continuará supervisando de cerca la pertinencia, eficiencia y eficacia de sus 
actividades.  
4.2  Finalización del Plan de Auditoría Interna de la OSI para 2017 -2018  
4.8.  El Plan de Auditoría Interna basado en riesgos de la OSI para 2017 -2018, que se presentó al 
Comité de Asuntos Presupuestarios en febrero de 20179, se detalla en el anexo 1 - Plan de 
Auditoría Interna para 2017 -2018. 
4.9.  Teniendo en cuenta las prioridades, limitaciones y expectativas de las partes interesadas, y a 
raíz de los intensos debates celebrados en 2017 en el Comité de Asuntos Presupuestarios en 
relación con las prestaciones por  familiares a cargo, la OSI decidió modificar el Plan de Auditoría 
Interna inicial como sigue:  
a. La auditoría de las prestaciones por familiares a cargo se incluyó en el Plan para 2018.  
b. La auditoría de la gestión de riesgos institucionales se aplazó hasta 20 19, en espera de 
la contratación de un Jefe de Gobernanza, Gestión de Riesgos y Cumplimiento, que se 
encargará de mantener el registro de riesgos de la Secretaría. El anterior titular de ese 
cargo se ha jubilado.  
c. La auditoría de la gestión de la seguridad de la información (ISO27001) también se 
aplazó hasta 2019, a fin de dar tiempo suficiente a la División de Soluciones de 
Tecnología de la Información (DSTI) para finalizar la aplicación de las recomendaciones 
propuestas en el marco de la auditoría de la se guridad de la información.  
4.10.   Debido a las limitaciones de recursos y a la inesperada carga de trabajo relacionada con las 
investigaciones, la OSI no ha podido completar las tareas incluidas en el Plan de Auditoría Interna 
para 2017 -2018. La situación de las auditorías internas previstas para 2017 -2018 es la siguiente:  
a. La auditoría de las vacaciones en el país de origen se finalizó en junio de 2017.10  Desde 
entonces, la OSI ha venido trabajando en estrecha colaboración con la DRH en la 
aplicación de las rec omendaciones formuladas en el informe de auditoría interna y en la 
redacción de una nueva política sobre las vacaciones en el país de origen. Al mes de 
junio de 2018 se han aplicado plenamente ocho (8) de las 11 recomendaciones incluidas 
en el informe de a uditoría interna. Asimismo, la nueva política sobre las vacaciones en el 
país de origen ha sido redactada y está en curso de examen/validación por otras 
entidades participantes en el proceso.  
                                                
9 Véase el documento WT/BFA/W/408.  
10 Véase el documento WT/BFA/W/423.  WT/BFA/W/451  
 
- 7 - 
 
  b. Las auditorías de las prestaciones por familiares a cargo y de los obsequios, 
gratificaciones y actividades exteriores están en curso. Se ha finalizado el trabajo de 
campo y se están redactando los dos informes de auditoría interna correspondientes. 
Cabe s eñalar que la auditoría de las prestaciones por familiares a cargo no se incluyó 
inicialmente en el Plan de Auditoría Interna de 2017 -2018. La OSI está trabajando en 
estrecha colaboración con la DRH en el diseño de una interfaz que se utilizará para 
seguir  de cerca la actualización oportuna de las prestaciones del personal (incluidas las 
prestaciones por familiares a cargo), de conformidad con el Estatuto y el Reglamento del 
Personal de la OMC.  
c. La OSI y el Servicio de Compras han estado colaborando estr echamente en la 
identificación, prevención y detección de posibles fraudes en las actividades de 
contratación. Se prevé realizar la auditoría de la contratación entre el tercer y el cuarto 
trimestre de 2018.  
d. La auditoría del subsidio de educación se lle vará a cabo en 2019. No obstante, la OSI 
trabajó en estrecha colaboración con la DRH para aplicar ya los controles internos 
necesarios. El Memorándum Administrativo sobre el subsidio de educación se revisó con 
el fin de incorporar las modificaciones propue stas por la OSI.11  
e. El análisis de los derechos de acceso a Oracle E -Business Suite se iniciará en el cuarto 
trimestre de 2018.  
f. La OSI está trabajando con la Sección de Planificación Estratégica, Vigilancia y 
Evaluación del Instituto de Formación y Co operación Técnica (IFCT) para vigilar la 
aplicación de las recomendaciones formuladas en el marco de la evaluación externa de 
la asistencia técnica relacionada con el comercio. Una vez finalizado ese ejercicio, la OSI 
proporcionará al Comité de Asuntos Pre supuestarios información actualizada al respecto.  
4.11.   Por último, la OSI siguió vigilando periódicamente la aplicación de las recomendaciones de 
auditoría interna, sobre la base de las aportaciones de las Divisiones interesadas. En el anexo 4 - 
Situación de la s recomendaciones de auditoría interna (1º de junio de 2018)  se detalla la situación 
actual de las recomendaciones de auditoría.  
4.12.   La OSI decidió cerrar 14 recomendaciones a partir de junio de 2017, sobre la base de la 
información justificativa recibida de las Divisiones interesadas. A petición del Comité de Asuntos 
Presupuestarios, las recomendaciones de auditoría que siguen pendientes de cerrarse se detallan 
en el anexo 5 - Recomendaciones de auditoría que todavía no  se han cerrado (1º de junio 
de 2018) . La OSI seguirá vigilando de cerca la aplicación de las recomendaciones de auditoría 
interna.  
4.3  Realización de investigaciones internas  
4.13.   La Oficina de Supervisión Interna es la única entidad en la OMC encargada de investigar las 
alegaciones de infracción de cu alquier norma de la OMC aplicable a los funcionarios, con 
independencia de cuál sea el tipo de contrato de estos, y de transmitir al Director General12 los 
resultados de esas investigaciones, junto con recomendaciones sobre las medidas que deban 
tomarse.  
4.14.   Desde julio de 2017 se ha contactado con la OSI en relación con 14 casos de posible 
conducta indebida (alegaciones). La Oficina analizó en detalle cada una de las alegaciones 
recibidas. Cuando las alegaciones se referían a problemas surgidos en el trabajo (p or ejemplo, 
condiciones de empleo, relaciones con los supervisores o colegas, gestión de la actuación 
profesional) y no a una conducta indebida, las personas interesadas fueron reenviadas a otros 
canales disponibles en la OMC para resolver quejas (como los  Mediadores Interno y/o Externo o el 
Asistente Social).  
                                                
11 Memorándum Administrativo Nº 961/REV.13 - Subsidio de educación, OFFICE(18)/35, de fecha 8 de 
mayo de 2018.  
12 O, cuando se trate de una supuesta infracción cometida por el Director Gene ral, un Director General 
Adjunto o un miembro del Gabinete del Director General a los Presidentes del Consejo General y del Comité de 
Asuntos Presupuestarios, Financieros y Administrativos.  WT/BFA/W/451  
 
- 8 - 
 
  4.15.   La OSI recibió reclamaciones formales en relación con cinco (5) de las alegaciones 
mencionadas supra  y llevó a cabo una evaluación preliminar de cada una de esas reclamaciones 
(antes de adoptar una d ecisión sobre la iniciación (o no) de u na investigación). En el cuadro  2 - 
Resumen de los casos de investigación (julio de 2017 - junio de 2018)  figura un resumen de esas 
reclamaciones . 
Cuadro 2 - Resumen de los casos de investigación (julio de 2017 - junio de 2018)  
Nº de 
alegación  Tipo de 
alegación  Investigación 
abierta  Posible pérdida 
(CHF)  Estado  Alegación 
confirmada  Sanción aplicada  
18 Conducta 
indebida  No 0 Cerrado  No - 
22 Fraude  Sí 19.088  
(reembolsados)  Apelación  Sí Reducción salarial  
26 Robo de 
identidad de 
usuario  Sí 0 Cerrado  Sí Destitución  
27 Conducta 
indebida  No 0 Cerrado  No - 
30 Acoso  No 0 Cerrado  No - 
 
4.16.   El Director General decidió adoptar medidas disciplinarias en dos de los casos (fraude y robo 
de identidad de usuario). La cantidad defraudada (CHF 19.088) fue reembolsada en su totalidad a 
la OMC.  
4.17.   El Jefe de la OSI confirma que el Director General, los Directores Generales Adjuntos y los 
integrantes del Gabinete del Director G eneral no han sido el objeto de las investigaciones.  
4.18.   La OSI participó también en varias iniciativas encaminadas a promover y mantener una 
cultura de integridad y honestidad en la OMC:  
a. En colaboración con la DRH, se desarrolló un módulo audiovisual para explicar el Código 
de Conducta y la función de supervisión interna en la OMC. Este módulo ya forma parte 
del material de introducción presentado a los funcionarios recientemente contratados .  
b. En noviembre de 2017 se organizó una reunión general para hablar sobre la importancia 
de la ética en las organizaciones internacionales y sobre cómo tomar la iniciativa para 
fortalecer la cultura ética en la OMC.  
c. En mayo de 2018 se organizó otra reunión general para presentar a los funcionarios los 
diferentes canales disponibles en la OMC para resolver quejas .  
4.4  Prestación de apoyo y asesoramiento al personal directivo superior, a los 
funcionarios y a otros interesados  
4.19.   La Oficina proporcionó asesoramiento independiente al Director General, al personal 
directivo superior y a los funcionarios para ayudarlos a cumplir con sus responsabilidades ante la 
Organización y sus Miembros. Asimismo, prestó apoyo a varias Divisiones a  fin de mejorar la 
eficacia de los procesos de gobernanza, gestión de riesgos y control.    
4.20.   La OSI mantuvo también contactos frecuentes con el Auditor Externo 
(Bundesrechnungshof), la Mediadora Interna y el Asesor Jurídico de la Administración. La Oficina 
considera que la colaboración y comunicación con esas diferentes funciones ha sido positiva y 
constructiva.  
4.21.   El Jefe de la OSI representó a la OMC en la Conferencia de Investigadores Internacionales 
de 2017 (11 a 13  de octubre de 2017) y en la conferencia an ual de la red de jefes de servicios de 
auditoría interna (HOIA) en Europa (18 a 20  de abril de 2017).  
4.22.   Además, la OSI ha sido un miembro activo de los Representantes de Servicios de Auditoría 
Interna (RIAS), los Representantes de Servicios de Investigacione s (RIS) y la Red de Ética de las 
Organizaciones Multilaterales (ENMO). Estas redes de jefes de servicios de auditoría WT/BFA/W/451  
 
- 9 - 
 
  interna/investigaciones/ética de organizaciones internacionales se reúnen en foros organizados 
para dar a conocer buenas prácticas y estab lecer orientaciones para las auditorías 
internas/investigaciones/ética en el sector público internacional.  
4.23.   El Jefe de la OSI también participó en el grupo encargado de la contratación del Jefe de 
Operaciones Financieras.  
4.24.   Por último, el Jefe de la OSI parti cipó en un programa de formación individualizada entre 
iguales (seis sesiones) en el que directivos de varias organizaciones internacionales compartieron 
conocimientos técnicos sobre cómo mejorar la capacidad de gestión.  
5  ACTIVIDAD DE SUPERVISIÓN INTERNA P REVISTA PARA 2018 -2019  
5.1.  De conformidad con la Norma 2010 del IAI, Planificación , el Jefe de la Oficina establecerá un 
plan basado en los riesgos a fin de determinar las prioridades de la actividad de supervisión 
interna.  
5.2.  Las prioridades de la OSI para 2018 -2019 se fundamentan principalmente en el registro de 
riesgos de la Secretaría de la OMC que mantiene la AGSD, en las aportaciones recibidas del 
personal directivo superior y en las prescripciones del Marco Internacional para la Práctica 
Profesional (IPPF) .13  
5.3.  La OSI identificó las siguientes prioridades para 2018 -2019:  
a. Como se ha indicado anteriormente, la OSI tratará de contratar y formar a profesionales 
adicionales a fin de aumentar y reforzar la capacidad y los medios del equipo de la 
Oficina.  
b. Se elaborará una Carta de Supervisión Interna en la que se definirá el marco en el que 
debe operar la función de supervisión interna en la OMC. La Carta se presentará al 
Comité de Asuntos Presupuestarios cuando el Director General la haya aprobado.  
c. Se lleva rán a cabo varias iniciativas encaminadas a mejorar la visibilidad de la Oficina y 
a explicar su mandato a los funcionarios y a otras partes interesadas externas  (por 
ejemplo, creando una página específica en el sitio Web y en la Intranet de la OMC, 
distribuyendo folletos informativos, participando en el programa de introducción para los 
nuevos funcionarios, etc.).  
d. La OSI completará las tareas incluidas en el Plan de Auditoría Interna para 2018 -2019, 
detallado en el anexo 2 - Plan de Auditoría Interna pa ra 2018 -2019. Ese plan se 
examinará por lo menos una vez al año, y tal vez haya que adaptarlo para responder a 
la evolución de los riesgos, las prioridades y las expectativas de la OMC.  
e. La OSI continuará realizando investigaciones administrativas y cola borando con otros 
Servicios para promover y mantener una cultura de integridad y honestidad en la OMC. 
Seguirá trabajando con el Servicio de Compras a fin de dar a conocer mejor los riesgos 
relacionados con el fraude y la corrupción en las actividades de c ontratación. La Oficina 
colaborará también con la DRH, el Asistente Social recientemente nombrado y el 
Mediador o Mediadores con objeto de aplicar las políticas de lucha contra el fraude y el 
acoso en la OMC.  
f. La OSI seguirá prestando apoyo y asesoramien to al personal directivo superior, a los 
funcionarios y a otros interesados sobre el cumplimiento eficaz de sus obligaciones,  y 
proporcionará asistencia a las Divisiones en la aplicación de las recomendaciones  de 
auditoría interna.  
                                                
13 El IPPF, promulgado por el IAI, es un marco conceptual en el que  se articulan las orientaciones 
autorizadas dirigidas a los profesionales de la auditoría interna.  WT/BFA/W/451  
 
- 10 - 
 
  g. Por último, la OSI continuará participando en foros profesionales internacionales (por 
ejemplo, los  Representantes de Servicios de Auditoría Interna, los Representantes de 
Servicios de Investigaciones y la Red de Ética de las Organizaciones Multilaterales) para 
mantenerse al  corriente de las tendencias y de las mejores prácticas que repercuten en 
las funciones de supervisión interna.  
5.4.  La Oficina de Supervisión Interna presentará anualmente al Comité de Asuntos 
Presupuestarios, Financieros y Administrativos un informe en que of recerá un panorama general 
de las actividades realizadas durante el año y la situación en que se encuentran las distintas tareas 
incluidas en el Plan de Auditoría Interna.  WT/BFA/W/451  
 
- 11 - 
 
  ANEXO 1 - PLAN DE AUDITORÍA IN TERNA PARA 2017 -2018  
Tema de la auditoría  Fuente  Alcance/objetivo de la auditoría  2017  2018  
Gestión de las 
vacaciones en el país 
de origen  Caso de fraude  
Petición de la 
Dirección  
 Cumplimiento de la política. Examen de la 
economía, la eficiencia y la eficacia de los 
procesos y controles internos. Cálcu lo de 
las sumas por concepto de vacaciones en 
el país de origen. Análisis de las 
variaciones y tendencias de los  costos.  x  
Contratación  Registro de riesgos  
Comité de Asuntos 
Presupuestarios  
 En 2017: La OSI se centrará en la 
prevención del fraude en las actividades de 
contratación (mediante talleres/cursos), 
dado que los Auditores Externos llevaron a 
cabo una auditoría de esa s actividades 
en 2015 y se están aplicando la 
Reglamenta ción Financiera Detallada de 
la OMC revisada y el nuevo Manual de 
Contra tación.  
En 2018: La auditoría interna incluirá la 
evaluación de los procesos y controles 
internos, y el examen de la aplicación del 
nuevo Manual de Contratación y del 
Capítulo IX de la Reglamentación 
Financiera Detallada revisada.  x x 
Políticas sobre 
obsequios, 
gratificaciones y 
actividades exteriores  Registro de riesgos  Evaluación de las políticas relativas a:  
- la aceptación de obsequios, 
gratificaciones u otros favores por parte 
de vendedores u otras partes externas;  
- las actividades exteriores remuneradas 
de los funcionarios;  
- la gestión del Fondo de Ayuda Mutua del 
Personal;  
- las obligaciones posteriores al empleo.  x  
Subsidio de educación  Petición de la 
Dirección  Cumplimiento de la política. Examen de la 
economía, la eficiencia y la eficacia de los 
procesos y controles internos. Cálculo de 
las prestaciones.   x 
Gestión de riesgos 
institucionales  Normas del IAI  Análisis de cómo se evalúan, gestionan y 
mitigan los riesgos en la OMC (proceso  de 
gestión y registro de riesgos).   x 
Derechos de acceso a 
Oracle E -Business Suite 
(Planificación de los 
recursos 
institucionales)  Registro de riesgos  
Auditoría de la 
seguridad 
informática  Examen de los procesos y las medidas de 
seguridad, análisis de los 
derechos/permisos de acceso y divisió n de 
funciones en Oracle (ERP).   x 
Gestión de la seguridad 
de la información  Registro de riesgos  
Petición de la 
Dirección  Análisis de deficiencias y hoja de ruta para 
la implementación de la norma 
internacional ISO27001 (Sistema de 
gestión de la seguridad de la información).   x 
Puesta en práctica de 
las recomendaciones 
formuladas en el marco 
de la evaluación 
externa de la asistencia 
técnica relacionada con 
el comercio (ATRC)  Registro de riesgos  
Petición de la 
Dirección  Examen independiente de la aplicación de 
las recomendaciones formuladas en 
el informe de la evaluación externa de la 
ATRC de la OMC.  x x 
Puesta en práctica de 
las recomendaciones de 
auditoría  Normas del IAI  Examen periódico de la aplicación de las 
recomendaciones de auditoría interna.  x x 
Auditorías ad hoc , de 
haberlas  - Por determinar.  - - 
 WT/BFA/W/451  
 
- 12 - 
 
  ANEXO 2 - PLAN DE AUDITORÍA IN TERNA PARA 2018 -2019  
Tema de la auditoría  Fuente  Alcance/objetivo de la auditoría  2018  2019  
Políticas sobre 
obsequios, 
gratificaciones y 
actividades exteriores  Registro de 
riesgos  
 Evaluación de las políticas relativas a:  
- la aceptación de obsequios, 
gratificaciones u otros favores por parte 
de vendedores u otras partes externas;  
- las actividades exteriores remuneradas 
de los funcionarios;  
- la gestión del Fondo de Ayuda Mutua del 
Personal;  
- las obligaciones posteriores al empleo.  x  
Prestaciones por 
familiares a cargo  Petición de la 
Dirección  Evaluación de los controles internos de la 
tramitación de las prestaciones por 
familiares a cargo (y otras prestaciones).  x  
Contratación  Registro de 
riesgos  
 Evaluación de los procesos y controles 
internos; examen de la aplicación del 
nuevo Manual de Contratación y del 
Capítulo  IX de la Reglamentación 
Financiera Detallada revisada.  x  
Subsidio de educación  Petición de la 
Dirección  Evaluación del cumplimiento del Estatuto 
y el Reglamento del Personal. Examen de 
la economía, la eficiencia y la eficacia de 
los procesos y controles.   x 
Gestión de la seguridad 
de la información  Registro de 
riesgos  
Petición de la 
Dirección  Análisis de deficiencias y hoja de ruta para 
la implementación de la norma 
internacional ISO27001 (Sistema de 
gestión de la seguridad de la información).   x 
Derechos de acceso a 
Oracle E -Business Suite 
(Planificación de los 
recursos 
institucionales)  
 Registro de 
riesgos  
Auditoría de la 
segurida d 
informática  Examen de los procesos y las medidas de 
seguridad, análisis de los 
derechos/permisos de acceso y división de 
funciones en Oracle (ERP).  x x 
Gestión de riesgos 
institucionales  Normas del IAI  Análisis de cómo se evalúan, gestionan y 
mitigan los riesgos en la OMC (proceso  de 
gestión y registro de riesgos).   x 
Puesta en práctica de 
las recomendaciones 
formuladas en el marco 
de la evaluación 
externa de la asistencia 
técnica relacionada con 
el comercio  Registro de 
riesgos  
Petición de la 
Dirección  Examen independiente de la aplicación de 
las recomendaciones formuladas en 
el informe de la evaluación externa de la 
ATRC de la OMC.  
 x x 
Puesta en práctica de 
las recomendaciones 
de auditoría  Normas del IAI  Examen periódico de la aplicación de las 
recomendaciones de auditoría interna.  x x 
Auditorías ad hoc , de 
haberlas  - Por determinar.  - - 
 WT/BFA/W/451  
 
- 13 - 
 
  ANEXO 3 - AUTOEVALUACIÓN DE LA  CALIDAD DE LA AUDITO RÍA INTERNA - 2018  
Norma 
del IAI  Declaración  Cumplimiento 
pleno  Cumplimiento 
parcial  Incumplimiento  
1000 El propósito, la autoridad y la responsabilidad de 
la actividad de auditoría interna deben estar 
formalmente definidos en un estatuto, en 
conformidad con la Misión de Auditoría Interna y 
los elementos de cumplimiento obligatorio del 
Marco Internacion al para la Práctica Profesional de 
la Auditoría Interna (los Principios Fundamentales 
para la Práctica Profesional de la Auditoría 
Interna, el Código de Ética, las Normas y la 
definición de auditoría interna). El director 
ejecutivo de auditoría debe revisa r periódicamente 
el estatuto de auditoría interna y presentarlo a la 
alta dirección y al Consejo para su aprobación.   x  
1100 La actividad de auditoría interna debe ser 
independiente, y los auditores internos deben ser 
objetivos en el cumplimiento de su trabajo.  x   
1110 El director ejecutivo de auditoría debe responder 
ante un nivel jerárquico tal dentro de la 
organización que permita a la actividad de 
auditoría interna cumplir con sus 
responsabilidades. El director ejecutivo de 
auditoría debe ratificar  ante el Consejo, al menos 
anualmente, la independencia que tiene la 
actividad de auditoría interna dentro de la 
organización.  x   
1111 El director ejecutivo de auditoría debe 
comunicarse e interactuar directamente con el 
Consejo de Administración.  x   
1112 Cuando el director ejecutivo de auditoría asuma o 
se espera que asuma un papel y/o 
responsabilidades aparte de auditoría interna, 
debe aplicar salvaguardas para limitar 
impedimentos a la independencia y objetividad.  x   
1120 Los auditores internos deben tener una actitud 
imparcial y neutral, y evitar conflictos de 
intereses.  x   
1130 Si la independencia u objetividad se viese 
comprometida de hecho o en apariencia, los 
detalles del impedimento deben darse a conocer a 
las partes correspondientes. La naturaleza de esta 
comunicación dependerá del impedimento.  x   
1210 Aptitud: los auditores internos deben reunir los 
conocimientos, las aptitudes y otras competencias 
necesarias para cumplir con sus responsabilidades 
individuales. La actividad de auditoría interna, 
colectivamente, debe reunir u obtener los 
conocimientos, las aptitudes y otras competencias 
necesarias para cumplir con sus 
responsabilidades.  x   
1220 Cuidado profesional: los auditores internos deben 
cumplir su trabajo con el cuidado y la aptitud que 
se esperan de un auditor interno razonablemente 
prudente y competente. El cuidado profesional 
adecuado no implica infalibilidad.  x   
1230 Los auditores internos deben perfeccionar sus 
conocimientos, aptitudes y otras competencias 
mediante  la capacitación profesional continua.  x   
1300 El director ejecutivo de auditoría debe desarrollar 
y mantener un programa de aseguramiento y 
mejora de la calidad que cubra todos los aspectos 
de la actividad de auditoría interna.  x   
1310 El programa de aseguramiento y mejora de la 
calidad debe incluir tanto evaluaciones internas 
como externas.   x  WT/BFA/W/451  
 
- 14 - 
 
  Norma 
del IAI  Declaración  Cumplimiento 
pleno  Cumplimiento 
parcial  Incumplimiento  
1311 Las evaluac iones internas deben incluir:  
- el seguimiento continuo del desempeño de la 
actividad de auditoría interna; y  
- autoevaluaciones periódicas o evaluaciones por 
parte de otras personas dentro de la 
organización con conocimientos suficientes de 
las prácticas de auditoría interna.   x  
1312 Deben realizarse evaluaciones externas al menos 
una vez cada cinco años por un evaluador o 
equipo de evaluación cualificado e independiente, 
proveniente de fuera de la organización. El 
director ejecutivo de auditoría debe tratar con el 
Consejo:  
- la forma y frecuencia de las evaluaciones 
externas; y  
- las cualificaciones e independencia del 
evaluador o eq uipo de evaluación externo, 
incluyendo cualquier conflicto de intereses 
potencial.  No se aplica    
1320 El director ejecutivo de auditoría debe comunicar 
los resultados del programa de aseguramiento y 
mejora de la calidad a la alta dirección y al 
Consejo. La comunicación debería incluir:  
- el alcance y frecuencia de las evaluaciones 
internas y externas;  
- la cualificación e independencia del 
evaluador(es) o equipo de evaluación, 
incluyendo potenciales conflictos de interés;  
- las conclusiones de los evaluadores;  
- planes de acciones correctivas.   x  
1321 Manifestar que la actividad de auditoría interna 
cumple con las Normas Internacionales para el 
Ejercicio Profesional de la Auditoría Interna es 
apropiado solo si lo respaldan los resultados del 
programa de aseguramiento y mejora de la 
calidad.  x   
1322 Cuando el incumplimiento del Código de Ética o 
las Normas afecta el alcance u operación general 
de la actividad de auditoría interna, el director 
ejecutivo de auditoría debe declarar el 
incumplimiento y su impacto ante la alta dirección 
y el Consejo.  x   
2000 El director ejecutivo de auditoría debe gestionar 
eficazmente la actividad de auditoría interna para 
asegurar que añada valor a la organización.   x  
2010 El director ejecutivo de auditoría debe establecer 
un plan basado en los riesgos, a fin de determinar 
las prioridades de la actividad de auditoría 
interna. Dichos planes deberán ser consistentes 
con las metas de la organización.  x   
2010.A1  Aseguramiento: el plan de trabajo de la  actividad 
de auditoría interna debe estar basado en una 
evaluación de riesgos documentada, realizada al 
menos anualmente. En este proceso deben 
tenerse en cuenta los comentarios de la alta 
dirección y del Consejo.  x   
2010.A2  Aseguramiento: el director ejecutivo de auditoría 
debe identificar y considerar las expectativas de la 
alta dirección, el Consejo y otras partes 
interesadas de cara a emitir opiniones de auditoría 
interna y otras conclusiones.  x   WT/BFA/W/451  
 
- 15 - 
 
  Norma 
del IAI  Declaración  Cumplimiento 
pleno  Cumplimiento 
parcial  Incumplimiento  
2020 El director ejecutivo de auditoría debe comunicar 
los planes y requerimientos de recursos de la 
actividad de auditoría interna, incluyendo los 
cambios provisionales significativos, a la alta 
dirección y al Consejo para la adecuada revisión y 
aprobación. El director ejecutivo de auditoría 
también  debe comunicar el impacto de cualquier 
limitación de recursos.  x   
2030 El director ejecutivo de auditoría debe asegurar 
que los recursos de auditoría interna sean 
apropiados, suficientes y eficazmente asignados 
para cumplir con el plan aprobado.   x  
2040 El director ejecutivo de auditoría debe establecer 
políticas y procedimientos para guiar la actividad 
de auditoría interna.  x   
2050 El director ejecutivo de auditoría debería 
compartir información, coordinar actividades y 
considerar la posibilidad de confiar en el trabajo 
de otros proveedores internos y externos de 
aseguramiento y consultoría.  x   
2050 El director ejecutivo de auditoría debería asegurar 
una cobertura adecuada y minimizar la duplicación 
de esfuerzos.  x   
2060 El director ejecutivo de auditoría debe informar 
periódicamente a la alta dirección y al Consejo 
sobre la actividad de auditoría interna en lo 
referido al propósito, autoridad, responsabilidad y 
desempeño de su plan, y sobre el cumplimiento 
del Código de É tica y las Normas.  x   
2060 El informe también debe incluir cuestiones de 
control y riesgos significativos, incluyendo riesgos 
de fraude, cuestiones de gobierno y otros asuntos 
que requieren la atención de la alta dirección y/o 
el Consejo.  x   
2070 Cuando un proveedor de servicios externos presta 
servicios de auditoría interna, dicho proveedor 
debe poner en conocimiento de la organización 
que esta última retiene la responsabilidad de 
mantener una función de auditoría interna 
efectiva.  No se aplica    
2100 La actividad de auditoría interna debe evaluar y 
contribuir a la mejora de los procesos de 
gobierno, gestión de riesgos y control de la 
organización, utilizando un enfoque sistemático 
disciplinado y basado en riesgos. La credibilidad y 
el valor añadi do de auditoría interna mejoran 
cuando los auditores internos son proactivos y sus 
evaluaciones ofrecen nuevas perspectivas y 
consideran impactos futuros.  x   
2110 La actividad de auditoría interna debe evaluar y 
hacer las recomendaciones apropiadas para 
mejorar los procesos de gobierno de la 
organización para:  
- tomar decisiones estratégicas y operativas;  
- supervisar el control y la gestión de riesgos;  
- promover la ética y los valores apropiados 
dentro de la organización;  
- asegurar la gestión y respons abilidad eficaces 
en el desempeño de la organización;  
- comunicar la información de riesgo y control a 
las áreas adecuadas de la organización;  
- coordinar las actividades y la información de 
comunicación entre el Consejo de 
Administración, los auditores internos y 
externos, otros proveedores de aseguramiento 
y la dirección.  x   WT/BFA/W/451  
 
- 16 - 
 
  Norma 
del IAI  Declaración  Cumplimiento 
pleno  Cumplimiento 
parcial  Incumplimiento  
2110.A1  Aseguramiento: la actividad de auditoría interna 
debe evaluar el diseño, implantación y eficacia de 
los objetivos, programas y actividades de la 
organización relacionados con la ética.   x  
2110.A2  Aseguramiento: la actividad de auditoría interna 
debe evaluar si el gobierno de tecnología de la 
información de la organización apoya las 
estrategias y objetivos de la organización.  x   
2120 La actividad de auditoría interna debe evaluar la 
eficacia y contribuir a la mejora de los procesos de 
gestión de riesgos.   x  
2200 Los auditores internos deben elaborar y 
documentar un plan para cada trabajo, que 
incluya su alcance, objetivos, tiempo y asignación 
de recursos. El plan debe considerar las 
estrategias, los objetivos y riesgos de la 
organización relevantes para el trabajo.  x   
2201 Al planificar el trabajo, los auditor es internos 
deben considerar:  
- las estrategias y objetivos de la actividad que 
está siendo revisada y los medios con los 
cuales la actividad controla su desempeño;  
- los riesgos significativos de los objetivos, 
recursos y operaciones de la actividad y los 
medios con los cuales el impacto potencial del 
riesgo se mantiene a un nivel aceptable;  
- la adecuació n y eficacia de los procesos de 
gobierno, gestión de riesgos y control de la 
actividad comparados con un enfoque o 
modelo relevante;  
- las oportunidades de introducir mejoras 
significativas en los procesos de gobierno, 
gestión de riesgos y control de la ac tividad.  x   
2210 Deben establecerse objetivos para cada trabajo.  x   
2220 El alcance del trabajo establecido debe ser 
suficiente para satisfacer los objetivos del trabajo.  x   
2230 Los auditores internos deben determinar los 
recursos adecuados y suficientes para lograr los 
objetivos del trabajo, basándose en una 
evaluación de la naturaleza y complejidad de cada 
trabajo, las restricciones de tiempo y los recursos 
disponibles.   x  
2240 Los auditores internos deben preparar y 
documentar programas que cumplan con los 
objetivos del trabajo.  x   
2300 Los auditores internos deben identificar, analizar, 
evaluar y documentar suficiente información de 
manera tal que les permita cumplir con los 
objetivos del trabajo.  x   
2310 Los auditores internos deben  identificar 
información suficiente, fiable, relevante y útil de 
manera tal que les permita alcanzar los objetivos 
del trabajo.  x   
2320 Los auditores internos deben basar sus 
conclusiones y los resultados del trabajo en 
análisis y evaluaciones adecuados.  x   
2330 Los auditores internos deben documentar 
información suficiente, fiable, relevante y útil que 
les permita respaldar los resultados del trabajo y 
las conclusiones.  x   
2340 Los trabajos deben ser adecuadamente 
supervisados para asegurar el logro de sus 
objetivos, la calidad del trabajo y el desarrollo del 
personal.  x   WT/BFA/W/451  
 
- 17 - 
 
  Norma 
del IAI  Declaración  Cumplimiento 
pleno  Cumplimiento 
parcial  Incumplimiento  
2400 Los auditores internos deben comunicar los 
resultados de los trabajos.  x   
2410 Las comunicaciones deben incluir los objetivos, 
alcance y resultados del trabajo.  x   
2410.A1  Aseguramiento: la comunicación final de los 
resultados del trabajo debe incluir las conclusiones 
aplicables así como también las recomendaciones 
aplicables y/o los planes de acción. Se debe 
proporcionar la opinión del auditor interno cuando 
resulte apropi ado. Una opinión debe considerar las 
expectativas del Consejo, la alta dirección y otras 
partes interesadas y debe estar soportada por 
información suficiente, fiable, relevante y útil.  x   
2410.A2  Aseguramiento: se alienta a los auditores internos 
a reconocer en las comunicaciones del trabajo 
cuando se observa un desempeño satisfactorio.  x   
2410.A3  Aseguramiento: cuando se envíen resultados de 
un trabajo a partes ajenas a la organización, la 
comunicación debe incluir las limitaciones a la 
distribución y uso de los resultados.  x   
2420 Las comunicaciones deben ser precisas, objetivas, 
claras, concisas, constructivas, completas y 
oportunas.  x   
2421 Si una comunicación final contiene un error u 
omisión significativos, el director ejecutivo de 
auditoría debe comunicar la información corregida 
a todas las partes que recibieron la comunicación 
original.  x   
2430 Manifestar que los trabajos son "realizados en 
conformidad con las Normas Internacionales para 
el Ejercicio Profesional de la Auditoría Interna" es 
apropiado solo si los resultados del programa de 
aseguramiento y mejora de la calidad respaldan 
dicha afirmación.  x   
2431 Cuando el incumplimiento del Código de Ética o 
las Normas afecta a un trabajo específico, la 
comunicación de los resultados de ese trabajo 
debe exponer:  
- los principios o reglas de conducta del Código 
de Ética, o las Normas con las cuales no se 
cumplió totalmente;  
- las razones del incumplimiento;  
- el impacto del incumplimiento sobre ese 
trabajo y los resultado s comunicados del 
mismo.  x   
2440 El director ejecutivo de auditoría debe difundir los 
resultados a las partes apropiadas.  x   
2440.A1  Aseguramiento: el director ejecutivo de auditoría 
es responsable de comunicar los resultados finales 
a las partes que puedan asegurar que se dé a los 
resultados la debida consideración.  x   
2440.A2  Aseguramiento: a menos de que exista obligación 
legal, estatutaria o de regulaciones en contrario, 
antes de enviar los resultados a partes ajenas a la 
organización, el director ejecutivo de auditoría 
debe:  
- evaluar el riesgo potencial para la 
organización;  
- consultar con la alta dirección y/o el consejero 
legal, según corresponda; y  
- controlar la difusión, restringiendo la utilización 
de los resultados.  x   WT/BFA/W/451  
 
- 18 - 
 
  Norma 
del IAI  Declaración  Cumplimiento 
pleno  Cumplimiento 
parcial  Incumplimiento  
2450 Cuando se emite una opinión global, debe 
considerar las estrategias, objetivos y riesgos de 
la organización, y las expectativas de la alta 
dirección, el Consejo y otras partes interesadas. 
Debe ser soportada por información suficiente, 
fiable, relevante y útil. 
La comunicación incluirá:  
- el alcance, incluyendo el período de tiempo al 
que se refiere la opinión;  
- las limitaciones al alcance;  
- la consideración de todos los proyectos 
relacionados incluyendo cuando se confíe en 
otros proveedores de aseguramiento.  
- un resumen de la información que respalda la 
opinión;  
- el riesgo, marco de control u otros criterios 
utilizados como base para la opinión global;  
- la opinión global, juicio o conclusión alcanzada.  No se aplica    
2500 El director ejecutivo de auditoría debe establecer 
y mantener un sistema para vigilar la disposición 
de los resultados comunicados a la dirección.  x   
2500.A1  Aseguramiento: el director ejecutivo de auditoría 
debe establecer un proceso de seguimiento para 
vigilar y asegurar que las acciones de la dirección 
hayan sido implantadas eficazmente o que la alta 
dirección haya aceptado el riesgo de no tomar 
medidas.  x   
2600 Cuando el director ejecutivo de auditoría concluya 
que la dirección ha aceptado un nivel de riesgo 
que pueda ser inaceptable para la organización, 
debe tratar este asunto con la alta dirección. Si el 
director ejecutivo de auditoría determina que el 
asunto no ha sido resuelto, el director ejecutivo 
de auditoría debe comunicar esta situación al 
Consejo.  x   
Para trabajos de consultoría:  
 
Norma 
del IAI  Declaración  Cumplimiento 
pleno  Cumplimiento 
parcial  Incumplimiento  
1000 La naturaleza de los servicios de consultoría debe 
estar definida en el estatuto de auditoría interna.   x  
1130 Los auditores internos pueden proporcionar 
servicios de consultoría relacionados con 
operaciones de las cuales hayan sido previamente 
responsables.  x   
1130 Si los auditores internos tuvieran impedimentos 
potenciales a la independencia u objetividad 
relacionados con la  proposición de servicios de 
consultoría, deberá declararse esta situación al 
cliente antes de aceptar el trabajo.  x   
1210 El director ejecutivo de auditoría no debe aceptar 
un servicio de consultoría, o bien debe obtener 
asesoramiento y asistencia competentes, en caso 
de que los auditores internos carezcan de los 
conocimientos, las aptitudes y otras competencias 
necesarias pa ra desempeñar la totalidad o parte 
del trabajo.  x   WT/BFA/W/451  
 
- 19 - 
 
  Norma 
del IAI  Declaración  Cumplimiento 
pleno  Cumplimiento 
parcial  Incumplimiento  
1220 El auditor interno debe ejercer el debido cuidado 
profesional durante un trabajo de consultoría, 
teniendo en cuenta lo siguiente:  
- las necesidades y expectativas de los clientes, 
incluyendo la naturaleza, oportunidad y 
comunicación de los resultados del trabajo;  
- la complejidad relativa y la extensión de la 
tarea necesaria para cumplir los objetivos del 
trabajo; y  
- el costo del trabajo de consultoría en relación 
con los beneficios potenciales.  x   
2010 El director ejecutivo de auditoría debería 
considerar la aceptación de trabajos de 
consultoría que le sean propuestos, basándose en 
el potencial del trabajo para mejorar la gestión de 
riesgos, añadir valor y mejorar las operaciones de 
la organización. Los trabajos aceptados deben ser 
incluidos en el plan.  x   
2120 Durante los trabajos de consultoría, los auditores 
internos deben considerar el riesgo compatible 
con los objet ivos del trabajo y estar alerta  a la 
existencia de otros riesgos significativos.  x   
2120 Los auditores internos deben incorporar los 
conocimientos del riesgo obtenidos de los trabajos 
de consultoría en su evaluación de los procesos de 
gestión de riesgos de la organización.  x   
2120 Cuando ayudan a la dirección a establecer o 
mejorar los procesos de gestión de riesgos, los 
auditores internos deben abstenerse de asumir 
cualquier responsabilidad propia de la dirección, 
como es la gestión de riesgos.  x   
2130 Los auditores internos deben incorporar los 
conocimientos de los controles que han obtenido 
de los trabajos de consultoría en su evaluación de 
los procesos de control de la organización.  x   
2201 Los auditores internos deben establecer un 
acuerdo con los clientes de trabajos de  
consultoría, referido a objetivos, alcance, 
responsabilidades respectivas y demás 
expectativas de los clientes. En el caso de 
trabajos significativos, este acuerdo debe estar 
documentado.  x   
2210 Los objetivos de los trabajos de consultoría deben 
considerar los procesos de gobierno, riesgo y 
control, hasta el grado de extensión acordado con 
el cliente.  x   
2210 Los objetivos de los trabajos de consultoría deben 
ser compatibles con los valores, estrategias y 
objetivos de la organización.  x   
2220 Al desempeñar trabajos de consultoría, los 
auditores internos deben asegurar que el alcance 
del trabajo sea suficiente para cumplir los 
objetivos acordados. Si los auditores internos 
encontraran restricciones al alcance durante el 
trabajo, estas restriccio nes deberán tratarse con 
el cliente para determinar si se continúa con el 
trabajo.  x   
2220 Durante los trabajos de consultoría, los auditores 
internos deben considerar los controles 
consistentes con los objetivos del trabajo y estar 
alertas a los asuntos de control significativos.  x   
2240 Los programas de trabajo de los servicios de 
consultoría pueden variar en forma y contenido 
dependiendo de la naturaleza del trabajo.  x   WT/BFA/W/451  
 
- 20 - 
 
  Norma 
del IAI  Declaración  Cumplimiento 
pleno  Cumplimiento 
parcial  Incumplimiento  
2330 El director ejecutivo de auditoría debe establecer 
políticas sobre la custodia y retención de los 
registros de trabajos de consultoría, y sobre la 
posibilidad de darlos a conocer a terceras partes, 
internas o externas. Estas políticas deben ser 
consistente s con las guías de la organización y 
cualquier regulación u otros requisitos 
pertinentes.  x   
2410 Las comunicaciones sobre el progreso y los 
resultados de los trabajos de consultoría variarán 
en forma y contenido dependiendo de la 
naturaleza del trabajo y las necesidades del 
cliente.  x   
2440 El director ejecutivo de auditoría es responsable 
de comunicar los resultados finales de los trabajos 
de consultoría a los clientes.  x   
2500 La actividad de auditoría interna debe vigilar la 
disposición de los resultados de los trabajos de 
consultoría, hasta el grado de alcance acordado 
con el cliente.  x   
 
  
  WT/BFA/W/451  
 
- 21 - ANEXO 4 - SITUACIÓN DE LAS REC OMENDACIONES DE AUDI TORÍA INTERNA (1º DE  JUNIO DE 2018)  
 
SITUACIÓN DE LAS RECOMENDACIONES DE AUDITORÍA  
Actividad de auditoría  Año de 
elaboración 
del 
informe*  Número total de 
recomendaciones  Número de 
recomendaciones 
prioritarias  Estado de la aplicación al  
1º de junio de  2017  Estado de la aplicación al  
1º de junio de  2018  
    % Cerradas  En curso  Pendientes  Cerradas  En curso  Pendientes  
Gestión de las licencias de 
enfermedad  2014 33 26 79% 30 0 3 31 2 0 
Seguridad de la tecnología de la 
información  2014 19 5 26% 5 10 4 10 7 2 
Vacaciones en el país de origen  2017 11 2 18% 0 0 11 8 1 2 
Total  - 63 33 52%  56%  16%  28%  78%  16%  6% 
*  Todas las recomendaciones incluidas en los informes de auditoría interna publicados en el período 2009 -2013 se han aplicado y cerrado.  
 
 
   
  WT/BFA/W/451  
 
- 22 - ANEXO 5 - RECOMENDACIONES DE A UDITORÍA QUE TODAVÍA  NO SE HAN CERRADO (1 º DE JUNIO DE 2018)  
A) GESTIÓN DE LAS LICENCIAS DE ENFERMEDAD  
Recomendación de auditoría  Estado de la aplicación comunicado por la División 
encargada de la aplicación  Estado  Prioridad  Observaciones de la Oficina 
de Supervisión Interna  Fecha límite  
26. El Servicio Médico y la DRH 
deberían conciliar los datos sobre 
licencias de enfermedad registrados 
en Oracle y CHIM ED con el fin de 
asegurar que son exactos, coherentes 
y fiables para informar a las distintas 
partes interesadas, y que cualquier 
divergencia está justificada.  CHIMED está concebida para registrar las tareas realizadas por 
el personal del Servicio Médico ( por ejemplo, cuántos certificados 
médicos se reciben). Ofrece una idea amplia del número de días 
de licencia de enfermedad, pero no es eficaz para obtener 
estadísticas sobre esas licencias (por ejemplo, no permite 
calcular horas o medias jornadas de ausenc ia). En consecuencia, 
es necesario modificar/reemplazar el sistema.  
 
El Servicio Médico y la DRH han identificado y seleccionado un 
nuevo programa informático llamado Préventiel. Se prevé 
implantar Préventiel en  2018. Como parte del proyecto de 
aplicación,  los datos registrados en Oracle se conciliarán con la 
información contenida en Préventiel.  
 En curso  Media  La recomendación se cerrará 
cuando se complete el 
proyecto de aplicación del 
nuevo programa informático 
Préventiel.  30/12/2018  
28. La DSTI debería ofrecer a la DRH 
una solución que le ayude a cumplir 
sus funciones como responsable de 
los datos, de la rendición de cuentas, 
y de la gestión y comunicación de 
esos datos; y proporcionar al personal 
de la DRH formación adecuada que 
asegure su independencia  en el uso 
de la solución.  La DSTI, la DRH y la LDIMD están utilizando la nueva 
funcionalidad desarrollada en Oracle para que los asistentes de 
sus Divisiones notifiquen las licencias de enfermedad 
(directamente al sistema). Esta funcionalidad se hará exte nsiva 
a las demás Divisiones en 2018.  
 En curso  Media  La recomendación se cerrará 
cuando la funcionalidad de 
Oracle se haga extensiva 
a todas las Divisiones.  30/12/2018  
 
   
  WT/BFA/W/451  
 
- 23 - B) VACACIONES EN EL PAÍS DE ORIGEN  
Recomendación de auditoría  Estado de la aplicación comunicado por la División 
encargada de la aplicación  Estado  Prioridad  Observaciones de la Oficina 
de Supervisión Interna  Fecha límite  
1. Hay que buscar un equilibrio 
correcto entre la necesidad de alentar 
el uso de la opción de la suma global 
y la necesidad de utilizar los recursos 
de forma racional a fin de lograr 
economías, eficiencia y eficacia en el 
proceso.  
En consecuencia, la OSI invita al 
Director de la División de Recursos 
Humanos a que supervise 
atentamente los costos y los 
beneficios para la OMC de la opción 
de la suma global, teniendo en cuenta 
el nivel de los incentivos en efectivo 
ofrecidos a los funcionarios mediante 
la opción de la suma global; y a que 
adopte los ajustes necesarios cuando 
el resultado se considere excesivo.  La Dir ección está de acuerdo con la recomendación y tratará de 
supervisar atentamente los pagos de la suma global.  Pendiente  Media  El primer seguimiento se 
realizará en octubre de 2018.  30/9/2018  
 
10. El Director de la DRH debería 
preparar una política detallada para 
las vacaciones en el país de origen 
tomando en cuenta las 
recomendaciones anteriores. Esta 
política debería comunicarse a todos 
los funcionarios de la  OMC.  La DRH ha elaborado la nueva  política sobre las vacaciones en el 
país de origen y las visitas a la familia (proyecto) tomando en 
consideración las recomendaciones anteriores. Este proyecto de 
política ha sido presentado a la OSI para su examen y la AGSD 
(Unidad de Viajes), la DRH y l a OSI están estudiando posibles 
mejoras. La política se publicará una vez revisada por el Comité 
Consultivo Mixto (CCM) y aprobada por el Director General.  En curso  Alta La recomendación se considera 
en curso hasta su aprobación 
definitiva por el Director 
General y la comunicación de la 
nueva política a los miembros 
del personal.  31/12/2018  
11. El sistema MobileXpense debería 
configurarse teniendo en cuenta las 
recomendaciones formuladas en el 
informe de auditoría interna. 
[Extracto: la recomendación 
propo rciona información más 
detallada sobre los controles que 
habrán de aplicarse].  La propuesta de que esos controles se hagan específicamente en 
MobileXpense es demasiado preceptiva. La viabilidad de agregar 
nuevas funciones a MobileXpense debe examinarse con  el 
Director de la DSTI. Este puede proponer otras alternativas para 
adoptar medidas sobre la base de esta recomendación.  
También se hace referencia a MobilXpense en el informe de los 
auditores externos, dado que estos llevaron a cabo una auditoría 
de resu ltados centrada en los viajes en 2017/2018.  Pendiente  Media  - 31/12/2018  
  
  WT/BFA/W/451  
 
- 24 - C) SEGURIDAD DE LA TECNOLOGÍA DE LA INFORMACIÓN  
Recomendación de auditoría  Estado de la aplicación comunicado por la División 
encargada de la aplicación  Estado  Prioridad  Observaciones de la Oficina 
de Supervisión Interna  Fecha límite  
4: Gestión de la seguridad de la TI: 
GOV 04 - Proceso de gestión de 
riesgos.  
 
La función de seguridad de la 
información debería examinar 
periódicamente el registro de riesgos 
para que se identifiquen pronta y 
debidamente los riesgos para la 
seguridad de la información. Sobre la 
base de ese examen, la función de 
seguridad de la TI debería:  
1. determinar en qué ámbitos se 
necesita una respuesta en materia de 
seguridad de la TI;  
2. asegurarse  de que las respuestas 
apropiadas en materia de seguridad de 
la TI sean incluidas en la sección de 
"medidas de mitigación propuestas";  
3. asegurarse de que las respuestas en 
materia de seguridad de la TI se 
apliquen adecuadamente y sean 
operativas.  
 Los riesgos para la seguridad de la información se incluyeron en 
el ejercicio anual de gestión de riesgos institucionales (ERM), 
dirigido por el oficial de riesgos de la  OMC (en 2017).  
 
Esta recomendación se aplicará después de las recomendaciones 
GOV 05 (Inve ntario de los recursos informativos clave de la  OMC) 
y GOV  06 (Estructura de las políticas de seguridad de la 
información ). 
 
 
 
 
 
 En curso  Alta La situación de la 
recomendación no ha 
cambiado, a la espera de que 
se finalice el registro de riesgos 
para la TI y la aplicación de las 
recomendaciones GOV  05 
y GOV 06.  31/12/2018   
  WT/BFA/W/451  
 
- 25 - Recomendación de auditoría  Estado de la aplicación comunicado por la División 
encargada de la aplicación  Estado  Prioridad  Observaciones de la Oficina 
de Supervisión Interna  Fecha límite  
5: Gestión de  la seguridad de la TI: 
GOV 05 a) - Inventario de los recursos 
informativos clave de la  OMC.  
 
La LDIMD y la DSTI deberían coordinar 
la creación y el mantenimiento de un 
inventario de los recursos informativos 
clave de toda la Organización, como los 
datos, la información, los documentos 
y las publicaciones. Es te inventario 
debería incluir: la definición de las 
funciones y responsabilidades de los 
propietarios de los recursos 
informativos, el  nivel de clasificación 
de los recursos informativos y los 
requisitos básicos en cuanto al control 
y la supervisión de los  recursos 
informativos; en este proceso debería 
tenerse en cuenta a cada División que 
elabora recursos informativos clave o 
tiene acceso a ellos. La función de 
seguridad de la TI debería realizar una 
evaluación del riesgo para la 
seguridad, sobre la base d e la lista de 
recursos informativos clave, para 
determinar el nivel de protección 
necesario para cada recurso 
informativo clave.  
 El inventario de los recursos informativos clave de toda la 
Organización se creará una vez adoptada la política de 
clasificaci ón (prevista para el tercer trimestre de 2018).  En curso  
 Media  La Oficina de Seguridad de la 
Información trabajará en el 
inventario de los recursos 
informativos clave.  
 31/12/2018   
  WT/BFA/W/451  
 
- 26 - Recomendación de auditoría  Estado de la aplicación comunicado por la División 
encargada de la aplicación  Estado  Prioridad  Observaciones de la Oficina 
de Supervisión Interna  Fecha límite  
6: Gestión de la seguridad de la TI: 
GOV 06 - Estructura de las políticas  de 
seguridad de la información.  
 
Examinar la estructura y el alcance de 
las políticas, normas, directrices y 
procedimientos de seguridad de la  TI; 
definir y velar por el cumplimiento de 
diversas políticas de TI, como las 
políticas de seguridad, la polític a de 
evaluación del riesgo para la seguridad 
de la TI, la política de recuperación en 
caso de desastre, y una política de 
evaluación del riesgo para la seguridad 
de la información que esté conforme a 
la política de gestión de riesgos.  
 La DSTI ha realizado  progresos importantes en el establecimiento 
de la estructura de las políticas de seguridad de la TI:  
a. política de seguridad de la información: finalizada (29 de 
septiembre de 2017);  
b. política de control de los accesos: finalizada (se publicará 
próxima mente);  
c. política de gestión de incidentes: en curso de redacción;  
d. política de clasificación de la información: se presentará a los 
Directores para su examen en mayo -junio de 2018, y su 
adopción está prevista para julio;  
e. política de evaluación del riesgo para la TI: se redactará tras 
la adopción definitiva de la política sobre clasificación de la 
información confidencial;  
f. política de recuperación en caso de desastre: pendiente;  
g. Directrices sobre usos admisibles: en proceso de revisión.  
 En curso  Media  La Oficina de Seguridad de la 
Información está trabajando en 
el establecimiento de la 
estructura de las políticas de 
seguridad de la información.  31/12/2018  
 
Política de 
evaluación del 
riesgo para la 
TI: 31/3/2019  
8: Gestión de la seguridad de  la TI: 
GOV 07 - Presentación de informes 
sobre la seguridad de la TI a la 
Dirección de la OMC (parte II).  
 
Además, la función de seguridad de la 
TI debería:  
 definir y establecer un conjunto de 
parámetros para aplicarlos a los 
procesos de seguridad de la 
información, sobre la base de los 
resultados de la evaluación del riesgo 
de los recursos informativos clave;  
 elaborar un conjunto de medidas 
amplio y coherente (indicador clave 
de rendimiento/ indicador clave de 
riesgo) para la elaboración de 
informes, sobr e la base de los 
parámetros definidos.  
 El Comité Directivo de Tecnología y Seguridad de la Información 
(CDTSI) aprobó el proyecto presentado por la Oficina de 
Seguridad de la Información para crear un Centro de Operaciones 
de Seguridad. La solicitud de pr opuestas para el Centro de 
Operaciones de Seguridad se publicará en junio de 2018 (con 
miras a la ejecución para finales de 2018). Una vez creado, el 
Centro de Operaciones de Seguridad definirá la información 
objetiva necesaria para determinar los indicado res clave de 
rendimiento.  En curso  Media  El Proyecto Centro de 
Operaciones de Seguridad, que 
se creará en el cuarto trimestre 
de 2018, se encargará de 
identificar los indicadores clave 
de rendimiento.  31/3/2019   
  WT/BFA/W/451  
 
- 27 - Recomendación de auditoría  Estado de la aplicación comunicado por la División 
encargada de la aplicación  Estado  Prioridad  Observaciones de la Oficina 
de Supervisión Interna  Fecha límite  
9: Gestión de la seguridad de la TI: 
GOV 08 - Estrategia de seguridad de la 
TI de la OMC.  
La OMC debería definir formalmente la 
estrategia y los objetivos de su función 
de seguridad de la TI, teniendo en 
cuenta los resultados de la evaluación 
de los recursos informativos clave y de 
los riesgos para su seguridad.  
La estrategia de seguridad de la TI 
debería examinarse para que esté en 
conformidad con los objetivos de las 
actividades de la Organización.  
 El 3 de mayo de 2018, el CDTSI aprobó el plan de acción 
provisional de TI para 2019. La estrategia y  los objetivos de la 
función de seguridad de la TI se finalizarán cuando se cumpla la 
recomendación GOV  04 (Proceso de gestión de riesgos).  En curso  Media  La situación de la 
recomendación no ha 
cambiado.  
 31/3/2019  
10: Gestión de la seguridad de la TI: 
GOV 09 - Armonización de los 
objetivos de la función de seguridad de 
la TI con una estrategia de seguridad 
de la TI.  
La función de seguridad de la TI 
debería elaborar un conjunto claro de 
objetivos armonizados con la 
estrategia de seguridad de la TI 
prevista  en la recomendación 
GOV 8 supra . 
 Se han identificado los objetivos intermedios de la función de 
seguridad de la TI, pero no se han documentado formalmente. 
Los objetivos a largo plazo se establecerán cuando se haya 
definido la estrategia de la función de  seguridad de la TI 
(recomendación  GOV 08). Pendiente  Baja La situación de la 
recomendación no ha 
cambiado.  31/3/2019   
  WT/BFA/W/451  
 
- 28 - Recomendación de auditoría  Estado de la aplicación comunicado por la División 
encargada de la aplicación  Estado  Prioridad  Observaciones de la Oficina 
de Supervisión Interna  Fecha límite  
12: Controles de seguridad de la TI: 
ITSC-01: - Configuración de la 
seguridad del sistema ERP.  
La función de seguridad de la TI 
debería:  
 definir un marco básico de seguridad 
amplio y completo para el sistema 
ERP, basándose en los aportes de la 
unidad de sistemas administrativos y 
las directrices de Oracle para la 
seguridad de los sistemas;  
 llevar a cabo un amplio examen de la 
seguridad info rmática de la 
configuración del sistema ERP, 
incluidas las capas de aplicación, 
base de datos, sistema operativo, red 
y almacenamiento.  
La unidad de sistemas administrativos 
debería:  
 modificar la configuración de 
seguridad por defecto de los perfiles 
de us uario de la base de datos Oracle 
o asignar perfiles de seguridad 
nuevos y más sólidos a todos los 
usuarios de la base de datos;  
 modificar la configuración por defecto 
de contraseñas de los usuarios de la 
base de datos Oracle y obligar a los 
228 usuarios qu e aún no han 
cambiado su contraseña por defecto 
a cambiarla. Esta configuración 
debería cumplir la política de 
contraseñas de Windows establecida.  
 examinar la lista de cuentas de  
usuarios de la base de datos 
E-business y Oracle y eliminar las 
cuentas que n o estén en uso;  
 llevar a cabo un amplio examen de la 
seguridad informática del sistema 
ERP incluidos los necesarios controles 
de los procesos administrativos para 
prote ger los datos financieros de 
la OMC.  Todas las vulnerabilidades técnicas específicas men cionadas en la 
recomendación ITSC -01 se resolvieron durante la migración del 
sistema ERP a la nueva versión (completada en febrero de 2015).  
 
Se adoptaron las mejores prácticas del proveedor ("Secure 
Configuration Guide for Oracle E -Business Suite Release 12") 
como marco básico de seguridad.  
 n.a. Alta La OSI decidió incluir este 
asunto en su Plan de Auditoría 
Interna para 2018 -2019. Esta 
recomendación será objeto de 
otra auditoría interna.  -  
  WT/BFA/W/451  
 
- 29 - Recomendación de auditoría  Estado de la aplicación comunicado por la División 
encargada de la aplicación  Estado  Prioridad  Observaciones de la Oficina 
de Supervisión Interna  Fecha límite  
14: Controles de seguridad de la TI: 
ITSC-03 - Gestión de las cuentas de 
usuario.  
Revisar los derechos de acceso de los 
usuarios y restringirlos al mínimo 
indispensable. Además, la unidad de 
seguridad de la TI debería examinar 
periódicamente las cuentas de usuario 
y los derechos de acceso a los sistem as 
y aplicaciones de procesamiento de la 
información para que sean adecuados 
y coincidan con la lista de funcionarios 
de la OMC. Este examen debe iniciarlo 
la función de seguridad de la TI y 
deben completarlo las  unidades 
responsables de esos sistemas.  
 
Por último, debería elaborarse un 
formulario para la creación, 
modificación y eliminación de cuentas 
de usuario dentro de los sistemas (por 
ejemplo, Windows Active Directory). 
Este formulario debería ser examinado 
y aprobado formalmente por el 
propietario de l proceso y la División de 
Recursos Humanos.  
 Los procedimientos de gestión de las cuentas de usuario se 
abordan en la política de control de los accesos, que ya se ha 
ultimado y se adoptará en el tercer trimestre de 2018.  
 En curso  Media  La situación de la 
recomendación se mantiene sin 
cambios hasta la adopción 
definitiva de la política de 
control de los accesos.  
 30/9/2018   
  WT/BFA/W/451  
 
- 30 - Recomendación de auditoría  Estado de la aplicación comunicado por la División 
encargada de la aplicación  Estado  Prioridad  Observaciones de la Oficina 
de Supervisión Interna  Fecha límite  
15: Controles de seguridad de la TI: 
ITSC-04 - Marco de control de la 
división de funciones.  
 
La unidad de sistemas administrativos 
y la función de seguridad de la TI de la 
OMC deberían:  
 
1. definir un marco para la división de 
funciones, teniendo en cuenta que 
los requisitos de seguridad deben 
ajustarse a los recursos disponibles 
(por ejemplo, a una persona de 
apoyo para una función e specífica 
se le deben atribuir los derechos de 
acceso adecuados para realizar 
operaciones de apoyo);  
 
2. definir un procedimiento para 
gestionar las excepciones al marco 
de división de funciones. Este 
procedimiento debería incluir la 
documentación formal de los 
desvíos del marco de división de 
funciones y la aprobación formal 
del supervisor del usuario;  
 
3. examinar la configuración actual de 
las funciones y responsabilidades 
en el ámbito de la ERP (es decir, 
los perfiles ERP) sobre la base del 
marco de di visión de funciones 
para que no se otorguen derechos 
incompatibles a los empleados sin 
la aprobación previa del supervisor 
del usuario.  
 La división de funciones en el marco de la ERP es una cuestión 
que abordarán la DRH, la AGSD y la DSTI en función del 
resultado de la auditoría de la seguridad del sistema ERP 
(recomendación ITSC -01). Pendiente  Media  Esta recomendación se aplicará 
después de la auditoría de la 
seguridad del sistema ERP.  31/3/2019   
  WT/BFA/W/451  
 
- 31 - Recomendación de auditoría  Estado de la aplicación comunicado por la División 
encargada de la aplicación  Estado  Prioridad  Observaciones de la Oficina 
de Supervisión Interna  Fecha límite  
17: Controles de seguridad de la TI: 
ITSC-06 - Gestión y supervisión de los 
registros del sistema ERP.  
 
La función de seguridad de la TI 
debería aportar información sobre qué 
modificaciones deben registrarse, 
teniendo en cuenta los requisitos en 
materia de pruebas para la gestión de 
incidentes, los re quisitos para la 
privacidad de los datos, el entorno 
jurídico y regulatorio y las medidas de 
protección para las pruebas reunidas 
(por ejemplo, almacenar los ficheros 
de registro de la aplicación ERP de 
forma remota en un servidor distinto al 
que solo pued a acceder la  función de 
seguridad de la TI).  
 
En segundo lugar, la unidad de 
sistemas administrativos debería 
habilitar la función del registro de 
auditoría del sistema ERP para todos 
los módulos del sistema ERP que 
procesan información clave, como los 
recursos financieros, la información 
relativa a los pagos o la información 
sobre los proveedores. Además, los 
ficheros de registro deberían guardarse 
en una base de datos distinta del 
sistema ERP, y el acceso a ellos 
debería estar restringido a la función 
de seguridad de la TI para preservar 
las pruebas en caso de investigación o 
análisis forense (por ejemplo, en una 
investigación sobre una sospecha de 
actividad fraudulenta).  Los registros del sistema operativo se trasladaron a un sistema 
de registro centraliz ado. Los registros de la aplicación ERP se 
reunirán cuando se haya establecido el Centro de Operaciones de 
Seguridad.  En curso  Baja La situación de la 
recomendación no ha 
cambiado.  31/12/2018  
 WT/BFA/W/451  
 
- 32 - 
 
  ANEXO 6 - LISTA DE SIGLAS  
 
AGSD   División de Administración y Servicios Generales  
ATRC   Asistencia técnica relacionada con el comercio  
CCM  Comité Consultivo Mixto  
CDTSI  Comité Directivo de Tecnología y Seguridad de la Información  
CHF  Franco suizo (moneda)  
COSO  Comité de Organizaciones Patrocinadoras de la Comisión Treadway  
DCI Dependencia Común de Inspección del sistema de las Naciones Unidas  
DRH  División de Recursos Humanos  
DSTI  División de Soluciones de Tecnología de la Información  
ENMO   Red de Ética de las Organizaciones Multilaterales  
ERM  Gestión de riesgos institucionales  
ERP  Sistema de planificación de los recursos institucionales  
HOIA  Red de jefes de servicios de auditoría interna de organizaciones internacionales con 
sede en  Europa  
IAI  Instituto de Auditores Internos  
IFCT  Instituto de Formación y Cooperación Técnica  
IPPF  Marco Internacional para la Práctica Profesional  
ISO  Organización Internacional de Normalización  
LDIMD  División de Servicios Lingüísticos, Documentación y Gestión de la Información  
n.a.  No se aplica  
OIT  Organización Internacional del Trabajo  
OMC  Organización Mundial del Comercio  
OSI  Oficina de Supervisión Interna  
RIAS  Representantes de Servicios de Auditoría Interna  
RIS  Representantes de Servicios de  Investigaciones  
 
 
__________