Que de conformidad con lo señalado en el artículo segundo del Acuerdo 4 de 1999, corresponde a TRANSMILENIO S.A., la gestión, organización y planeación del servicio de transporte público masivo urbano de pasajeros en el Distrito Capital y su área de influencia, bajo la modalidad de transporte terrestre automotor.

Que cumpliendo con lo ordenado en el parágrafo único del artículo 1º de la Ley 87 de 1993, se adoptó el Manual de Procedimientos de TRANSMILENIO S.A., según Resolución 078 de 2000.

Que mediante Acuerdo 002 de 2011 de la Junta Directiva de la EMPRESA DE TRANSPORTE DEL TERCER MILENIO – TRANSMILENIO S.A." se determinaron las funciones de las dependencias.

Que una vez presentado, discutido y ajustado, fue aprobado en sesión del Comité de Calidad y Control Interno del 10 de Agosto de 2012, el nuevo Mapa de Procesos de la Entidad, atendiendo el nuevo rol institucional como ente gestor del Sistema Integrado de Transporte Público.

Que siendo TRANSMILENIO S.A., el ente gestor del Sistema Integrado de Transporte Público, considera necesario actualizar el Manual de Procedimientos de la Entidad, con el objeto de ajustarlo a los nuevos parámetros, necesidades y desarrollo del Sistema TransMilenio y fijar las directrices y lineamientos del Personal de la Entidad y de los actores que intervienen en la Operación.

Que mediante la Ley 87 de 1993 se establecen normas para el ejercicio del Control Interno en las entidades y organismos del Estado y se dictan otras disposiciones.

Que mediante la Guía de Auditoria para las Entidades Públicas emitida por el Departamento Administrativo de la Función Pública (DAFP) y el Instituto de Auditores Internos de Colombia – IIA, se brindan lineamientos para la ejecución de auditoría Interna en las Entidades Públicas en concordancia con la normatividad nacional y las Normas Internacionales para el Ejercicio Profesional de la Auditoria Interna.

Que en mérito de lo expuesto,

ARTÍCULO  PRIMERO: Modificar la Resolución 078 del 31 de julio de 2000 en lo que corresponde a la creación del siguiente documento:

ARTÍCULO  SEGUNDO: Modificar parcialmente la Resolución 593 del 16 de octubre de 2015, en lo que corresponde a la actualización de los siguientes documentos relacionados a continuación con la versión registrada en el siguiente cuadro:

ARTÍCULO TERCERO: La presente Resolución rige a partir de su publicación en la Gaceta Distrital y deroga en su totalidad los procedimientos que le sean contrarios; los demás procedimientos no modificados con la presente resolución continúan vigentes.

Brindar una guía sobre las herramientas más comunes para analizar e identificar la(s) causa(s) del incumplimiento, hallazgo o situación encontrada con el fin de formular acciones correctivas y preventivas eficaces que logren minimizar o evitar que vuelvan a presentarse.

Este protocolo puede ser utilizado por todos los servidores de la Oficina de Control Interno como parte de los equipos de auditoria y por los demás funcionarios de la Entidad responsables de los procesos/subprocesos para identificar las causas de los hallazgos detectados en los procesos de auditoría que ejecuta la Oficina de Control Interno de TRANSMILENIO S.A.

El responsable por la elaboración y actualización de este protocolo es el Jefe de la Oficina de Control Interno o quien éste designe, quienes serán responsables de velar por el mantenimiento y socialización de este documento a todos los servidores de la Oficina de Control Interno de TRANSMILENIO S.A y sus proveedores de servicios externos.

La revisión y/o actualización de este procedimiento debe realizarse cuando se considere pertinente por parte de los responsables de su aplicación y cumplimiento.

Auditado: Actividad, área o proceso al cual se realizan el trabajo de Auditoría interna.

Auditor: Persona con la competencia para llevar a cabo una auditoría.

Auditoría Interna: Actividad independiente y objetiva de aseguramiento y consulta, concebida para agregar valor y mejorar las operaciones de una organización.

Causa: Las razones subyacentes de la brecha entre la condición esperada y la real, que generan condiciones adversas (qué originó la diferencia encontrada).

Condición: La evidencia basada en hechos que encontró el auditor interno (realidad).

Criterio: Normatividad utilizada al realizar la evaluación (lo que debe ser).

Hallazgo: Resultado de la comparación que se realiza entre un criterio establecido y la situación actual encontrada durante el examen a una actividad, procedimiento o proceso.

Los usuarios del presente protocolo (servidores adscritos a la Oficina de Control Interno como parte de los equipos de auditoria y/o los responsables de los procesos/subprocesos auditados) deben previamente a la utilización de las herramientas de análisis e identificación de causas, considerar lo siguiente:

a) Reunir la mayor cantidad de información relacionada con incumplimiento, hallazgo o situación encontrada a analizar, la cual debe estar debidamente soportada en evidencia objetiva.

b) Identificar los servidores que interactúan en el proceso/subproceso auditado y al cual está vinculado con el incumplimiento, hallazgo o situación encontrada, quienes puedan contribuir con la identificación de la(s) causa(s).

c) Describir claramente el incumplimiento, hallazgo o situación encontrada. Esta descripción debe ser concisa, precisa, objetiva, sin juicios y evitando generalidades.

Para lo anterior, se pueden considerar las respuestas a los siguientes interrogantes:

• ¿Qué sucedió, que no debió haber sucedido? / (¿Que puede suceder en caso de no hacer nada?)

• ¿Cuáles requisitos no se están cumpliendo? / (¿Cuáles requisitos se pueden incumplir?)

• ¿Cuándo es que no se cumplen? / (¿En qué momento o bajo qué circunstancias se puede presentar el problema?)

• ¿Con qué frecuencia no se cumplen? / (¿Que probabilidad existe de que se presente?)

• ¿Cuál es el costo del incumplimiento? / (¿Cuánto se puede ahorrar si se evita el problema?)

Dentro de las herramientas más comunes y de mayor utilización se encuentran las siguientes:

Es una técnica que tiene por objeto generar ideas sobre un tema o problema determinado en un trabajo grupal donde todos sus integrantes pueden hacer aportes y sugerencias.

Pasos a seguir:

• Formular las posibles ideas de causas que dan origen al hallazgo o las ideas de acciones posibles de mejorar.

• Ordenar las ideas de causas o acciones de mejora de mayor importancia.

• Se seleccionan las ideas que más se ajusten a los criterios establecidos, como expectativas, tiempo determinado, recursos, entre otros.

• Con los criterios definidos se valoran las ideas más afines y se obtienen las conclusiones que expresaran la mejor solución al problema o la causa raíz.

Es una técnica sistemática de preguntas, que consiste en preguntar el ¿por qué? Del hallazgo de manera consecutiva, hasta llegar a la causa raíz que originó el problema o la acción que requiere mejorar. Esta técnica requiere que el equipo pregunte ¿Por qué? al menos cinco veces para lograr mayores niveles de detalle.

Pasos a seguir:

• Empezar la serie sucesiva de preguntas "¿por qué?", algunas de las preguntas típicas son:

¿Por qué ha surgido este problema?

¿Por qué no funciona este mecanismo?

¿Por qué no se mejora este proceso?

• Cuando no se puede contestar una de las preguntas significa que se ha llegado a la causa raíz del problema.

Se conoce también como diagrama de Ishikawa o diagrama de espina de pescado y se utiliza en las fases de diagnóstico y solución de la causa.

Pasos a seguir:

•Identificar el incumplimiento, hallazgo o situación encontrada.

• Diseñar una flecha horizontal apuntando a la derecha y escribir el problema o situación a mejorar al interior de un rectángulo localizado en la punta de la flecha.

• Agrupar las causas o acciones a mejorar en categorías, tales como:

a) Máquina y/o Equipos

b) Mano de obra

c) Método (Procesos)

d) Materiales e Información y,

e) Medición (Indicadores).

• Buscar las subcausas o acciones de mejora, o haga otros diagramas de causa o acción a mejorar y efecto para cada una de las causas o acciones de mejora encontradas.

• Escribir cada categoría dentro de los rectángulos paralelos a la flecha principal. Los rectángulos quedarán entonces, unidos por líneas inclinadas que convergen hacia la flecha principal.

• Se pueden añadir las causas o acciones de mejora y subcausas o subacciones de mejoras de cada categoría a lo largo de su línea inclinada

El Diagrama de Pareto es una forma particular de histograma. La diferencia fundamental respecto a un histograma normal es que se ordena los fallos no sólo respecto a su número sino también respecto a su importancia relativa (de mayor a menor importancia). Con ello facilita la identificación de las causas principales que son responsables de la mayor parte de los efectos.

Pasos a seguir:

• Seleccionar los datos que se van a analizar, así como el periodo de tiempo al que se refieren dichos datos.

• Agrupar los datos por categorías, de acuerdo con un criterio determinado.

• Tabular los datos.

• Comenzando por la categoría que contenga más elementos y, siguiendo en orden descendente, calcular:

- Frecuencia absoluta.

- Frecuencia absoluta acumulada.

- Frecuencia relativa unitaria.

- Frecuencia relativa acumulada.

• Dibujar el diagrama de Pareto.

• Representar el gráfico de barras correspondiente que, en el eje horizontal, aparecerá también en orden descendente.

• Delinear la curva acumulativa: Se dibuja un punto que represente el total de cada categoría. Tras la conexión de estos puntos se formará una línea poligonal.

• Analizar el diagrama de Pareto bajo la siguiente premisa:

Aquellos ítems que se encuentren dentro del valor acumulado hasta el 80% se denominan A. Los siguientes ítems que pasen de 80,001% hasta el 95% se denominan B y al resto hasta completar el 100% se denomina C. Esto es lo que se conoce como Ley ABC o Ley 20-80, ya que aproximadamente el 20% de las causas en estudio generan el 80% del total de los efectos.

NOTA: Es importante recalcar que la aplicación de estas herramientas debe ser documentada con el fin de contar con evidencia objetiva de su ejecución, del personal que intervino, de las alternativas y las conclusiones generadas.

La importancia de la aplicación de las herramientas antes mencionadas es la de lograr priorizar las causas generadoras del incumplimiento, hallazgo o situación encontrada con el fin de formular acciones correctivas y preventivas eficaces directamente relacionadas y que permitan minimizar o evitar que éstas vuelvan a presentarse.

Establecer las actividades para la ejecución los trabajos de aseguramiento (auditorías internas de procesos y/o auditorías internas de proyectos especiales) que estén contemplados en el plan anual de actividades de la Oficina de Control Interno, con el fin de evaluar el diseño y operatividad del sistema de control interno, detectar oportunidades de mejora y emitir las recomendaciones que corrijan las causas de las novedades detectadas.

Este procedimiento aplica para la ejecución de los trabajos de aseguramiento (auditorías internas de procesos y/o auditorías internas de proyectos especiales) que estén contenidos en el Plan Anual de Actividades de la Oficina de Control Interno de TRANSMILENIO S.A. aprobado por el Comité del Sistema Integrado de Gestión (o quien haga sus veces). Inicia con la ejecución de las pruebas de recorrido para evaluar el diseño de los controles y culmina con elaboración y entrega del informe final del trabajo de aseguramiento.

El responsable por la elaboración y actualización de este procedimiento es el Jefe de la Oficina de Control Interno o quien éste designe, quienes serán responsables de velar por el mantenimiento y cumplimiento de este procedimiento, el cual será de conocimiento y aplicación de todos los servidores de la Oficina de Control Interno de TRANSMILENIO S.A y sus proveedores de servicios externos.

La revisión y/o actualización de este procedimiento debe realizarse cuando se considere pertinente por parte de los responsables de su aplicación y cumplimiento.

De acuerdo con las definiciones dadas por el Marco Internacional para la práctica profesional de la Auditoría Interna del Instituto de Auditores Internos.

Auditado: Actividad, área o proceso al cual se realizan el trabajo de Auditoría interna.

Auditor: Persona con la competencia para llevar a cabo una auditoría.

Auditoría Interna: Actividad independiente y objetiva de aseguramiento y consulta, concebida para agregar valor y mejorar las operaciones de una organización.

Control: Cualquier medida que tome la dirección, el Consejo y otras partes, para gestionar los riesgos y aumentar la probabilidad de alcanzar los objetivos y metas establecidas. La dirección planifica, organiza y dirige la realización de las acciones suficientes para proporcionar una seguridad razonable de que se alcanzarán los objetivos y metas.

Cumplimiento: Adhesión a políticas, planes, procedimientos, leyes, regulaciones, contratos y otros requisitos.

Director ejecutivo de auditoría (DEA): describe a la persona en un puesto de alto directivo (senior) responsable de la gestión efectiva de la actividad de Auditoría Interna de acuerdo con el estatuto de Auditoría Interna y la definición de Auditoría Interna, el código de ética y las Normas. En el caso de TRANSMILENIO S.A. corresponde al Jefe de la Oficina de Control Interno.

Eficacia Operativa: Capacidad de lograr el efecto que se desea o se espera.

Gestión de Riesgos: Un proceso para identificar, evaluar, manejar y controlar acontecimientos o situaciones potenciales, con el fin de proporcionar un aseguramiento razonable respecto al alcance de los objetivos de la organización.

Gobierno: La combinación de procesos y estructuras implantados por el Consejo de Administración para informar, dirigir, gestionar y vigilar las actividades de la organización con el fin de lograr sus objetivos.

NIAI: Norma(s) internacional(es) para la Práctica Profesional de la Auditoría Interna emitidas por "The Institute of Internal Auditors".

Norma: Un pronunciamiento profesional promulgado por el Consejo de Normas de Auditoría Interna que describe los requerimientos para desempeñar un amplio rango de actividades de Auditoría Interna y para evaluar el desempeño de la Auditoría Interna.

Plan anual de auditoría interna (Plan anual de actividades de la Oficina de Control Interno): Documento que contiene los trabajos de auditoría interna durante un período anual. Este plan contempla las actividades a realizar, el recurso humano responsable de cada actividad y el período de tiempo estimado para su realización.

Programa de Trabajo: un documento que contiene en una lista de los procedimientos a seguir durante un trabajo, diseñado para cumplir con el plan del trabajo.

Proveedor externo de servicios: Una persona o empresa, ajena a la organización, que posee conocimientos, técnicas y experiencia especiales en una disciplina en particular.

Pruebas de auditoria: Conjunto de técnicas aplicadas a una transacción, hecho o circunstancia que son utilizados para obtener evidencia.

Riesgo: La posibilidad de que ocurra un acontecimiento que tenga un impacto en el alcance de los objetivos. El riesgo se mide en términos de impacto y probabilidad.

Servicios de aseguramiento: Un examen objetivo de evidencias con el propósito de proveer una evaluación independiente de los procesos de gestión de riesgos, control y gobierno de una organización. Por ejemplo: trabajos financieros, de desempeño, de cumplimiento, de seguridad de sistemas y de diligencia debida (due diligence).

Servicios de consultoría: Actividades de asesoramiento y servicios relacionados, proporcionados a los clientes, cuya naturaleza y alcance estén acordados con los mismos y estén dirigidos a añadir valor y a mejorar los procesos de gobierno, gestión de riesgos y control de una organización, sin que el auditor interno asuma responsabilidades de gestión. Algunos ejemplos de estas actividades son el consejo, el asesoramiento, la facilitación y la formación.

Significatividad o materialidad: la importancia relativa de un asunto dentro de un contexto en el cual está siendo considerado, incluyendo factores cuantitativos y cualitativos, tales como magnitud, naturaleza, , efecto, relevancia e impacto. El juicio profesional ayuda a los auditores internos cuando evalúan la significatividad de los asuntos dentro del contexto de los objetivos relevantes.

Supervisor del Trabajo: Recurso Humano adscrito a la Oficina de Control Interno, designado por el Jefe de la Oficina de Control Interno para verificar la ejecución del trabajo mediante el cumplimiento de los roles descritos en el numeral 6.1 del presente procedimiento.

Trabajo: Una específica asignación de auditoría interna, tarea o actividad de revisión, tal como auditoría interna, revisión de autoevaluación de control, examen de fraude, o consultoría. Un trabajo puede comprender múltiples tareas o actividades concebidas para alcanzar un grupo específico de objetivos relacionados.

• La Oficina de Control Interno de TRANSMILENIO S.A. podrá llevar a cabo trabajos de aseguramiento (auditorías internas de procesos y/o auditorías internas de proyectos especiales) a través de proveedores externos de servicios contratados para tal fin.

• En caso de que los trabajos de aseguramiento (auditorías internas de procesos y/o auditorías internas de proyectos especiales) se realicen a través de servicios externos de auditoría, la responsabilidad del trabajo realizado y el cumplimiento en la realización de mismo es del Jefe de la Oficina de Control Interno de TRANSMILENIO S.A.

• Los auditores internos deben preparar y documentar programas que cumplan con los objetivos del trabajo (NIA 2240).

• Los programas de trabajo deben incluir los procedimientos para identificar, analizar, evaluar y documentar información durante la tarea. El Programa de Trabajo debe ser aprobado con anterioridad a su implantación y cualquier ajuste ha de ser aprobado oportunamente (NIAI 2240.A1).

• Los auditores internos deben identificar, analizar, evaluar y documentar suficiente información de manera tal que les permita cumplir con los objetivos del trabajo (NIAI 2300).

• Los auditores internos deben identificar información suficiente, fiable, relevante y útil de manera tal que les permita alcanzar los objetivos del trabajo (NIAI 2310).

• Los auditores internos deben basar sus conclusiones y los resultados del trabajo en análisis y evaluaciones adecuados (NIAI 2320).

• Los auditores internos deben documentar información relevante que les permita soportar las conclusiones y los resultados del trabajo (NIAI 2330).

• Los auditores internos deben comunicar los resultados de los trabajos (NIAI 2400).

• Las comunicaciones deben incluir los objetivos y alcance del trabajo así como las conclusiones correspondientes, las recomendaciones, y los planes de acción (NIAI 2410).

• Se alienta a los auditores internos a reconocer en las comunicaciones del trabajo cuando se observa un desempeño satisfactorio (NIAI 2410.A2).

• Las comunicaciones deben ser precisas, objetivas, claras, concisas, constructivas, completas y oportunas (NIAI 2420).

• Si una comunicación final contiene un error u omisión significativos, el director ejecutivo de auditoría debe comunicar la información corregida a todas las partes que recibieron la comunicación original (NIAI 2421).

• El Jefe de la Oficina Control Interno debe difundir los resultados a las partes apropiadas (NIAI 2440).

• El Jefe de la Oficina Control Interno es responsable de comunicar los resultados finales a las partes que puedan asegurar que se dé a los resultados la debida consideración (NIAI 2440.A1).

Dentro de la fase de ejecución del trabajo de aseguramiento, el Profesional y/o Proveedor Externo de Servicios designado por el Jefe de la Oficina de Control Interno como Supervisor del trabajo tendrá el siguiente rol:

• Prestar la asesoría técnica necesaria para facilitar al Jefe de la Oficina de Control Interno la coordinación, supervisión y aprobación de las actividades relacionadas en el presente procedimiento.

Dentro de la fase de ejecución del trabajo de aseguramiento, el Profesional y/o Proveedor Externo de Servicios designado por el Jefe de la Oficina de Control Interno como Líder del trabajo, tendrá el siguiente rol:

• Consolidar el Informe del Trabajo de Aseguramiento de acuerdo con los lineamientos establecidos en el presente procedimiento.

Para validar los controles establecidos o identificados para cada riesgo del proceso y/o subproceso como resultado de las pruebas de recorrido se utilizarán los siguientes criterios y su escala de valoración:

El resultado de esta evaluación se verá reflejado en la siguiente escala:

Se evaluará la eficacia operativa de los controles relevantes o claves del proceso o subproceso a auditar que hayan obtenido una adecuada (fuerte o moderado) evaluación del diseño de controles como se muestra a continuación:

Si se concluye que el control no está adecuadamente diseñado, no se deben hacer las pruebas de eficacia; y si está bien diseñado pero la implementación no es adecuada, no se debe hacer la prueba de eficacia operativa.

• La evaluación de la eficacia operativa de controles deberá documentarse en el formato Papel de Trabajo Estándar R-CI-020.

• La cantidad de controles a testear se determinará de acuerdo con la siguiente tabla:

Para la obtención de evidencias, se pueden utilizar diferentes técnicas que permiten verificar la eficacia de la operación de los controles, las cuales son:

• Inspección: Examen físico y ocular de los activos tangibles o de hechos, situaciones, operaciones, transacciones y actividades aplicando la indagación, observación, comparación, rastreo, análisis, tabulación y comprobación (evidencias físicas).

• Comparación: Análisis entre las operaciones realizadas y las definidas para determinar sus relaciones e identificar sus diferencias y semejanzas (evidencias analíticas).

•Revisión selectiva: Examen de las características importantes que debe cumplir una actividad, informe o documento, seleccionándose así parte de las operaciones que serán evaluadas o verificadas en la ejecución de la auditoría (evidencias analíticas).

• Rastreo: Seguimiento de una operación, a través de la documentación respectiva, a fin de conocer y evaluar su ejecución (evidencias analíticas).

• Revisión de cálculos matemáticos: Verificación de la exactitud aritmética de las operaciones contenidas en los documentos (evidencias analíticas y documentales).

• Confrontación: Cotejo de la información contenida en los registros contra el soporte documental para confirmar la veracidad, exactitud, existencia, legalidad y legitimidad de las operaciones realizadas (evidencias analíticas y documentales).

• Confirmación: Corroboración de la verdad, certeza o probabilidad de los hechos, situaciones, sucesos u operaciones mediante datos o información, obtenidos de manera directa y por escrito de los funcionarios que participan o ejecutan las tareas sujetas a verificación (evidencias documentales).

• Comprobación: Confirmación sobre la veracidad, exactitud, existencia, legalidad y legitimidad de las operaciones realizadas por la organización auditada, mediante el examen de los documentos que las justifican (evidencias documentales).

• Conciliaciones: Examen de la información emanada de diferentes fuentes con respecto a una misma operación o actividad, a efectos de hacerla concordante (evidencias analíticas).

• Comunicación: Obtención de información directa y por escrito de un sujeto externo a la entidad auditada (evidencias testimoniales).

• Análisis: Separación de los elementos o partes que conforman una operación, actividad, transacción o proceso, con el propósito de establecer sus propiedades y conformidad con los criterios de orden normativo y técnico (evidencias analíticas).

• Análisis de tendencias y comparación con los indicadores: Permite medir la eficiencia y economía en el manejo de los recursos, la eficacia y efectividad de los bienes producidos o de los servicios prestados o el grado de satisfacción de las necesidades de los usuarios o beneficiarios (evidencias analíticas).

• Análisis de soportes informáticos: Evaluación de los elementos lógicos, programas y aplicaciones utilizados por el auditado (evidencias informáticas).

Utilizar métodos auxiliares que complementen los procedimientos citados en la actividad anterior, tales como:

• Pruebas selectivas por muestreo estadístico: Aplicar métodos matemáticos para determinar el tamaño mínimo de la muestra que permita cuantificar el grado de riesgo que resulta de examinar sólo una parte del universo.

El criterio profesional del auditor y su experiencia determinarán la combinación de prácticas y procedimientos, según los riesgos y otras circunstancias, con vistas a obtener la evidencia necesaria y la suficiente certeza para sustentar sus conclusiones y opiniones de manera objetiva.