¿Qué skills o competencias se requieren para ser un buen auditor SAP ERP?

Primero: Buena formación profesional como auditor o postítulo de especialización en auditoría y/o certificación internacional profesional de clase mundial (CISA, CIA)

Segundo: Completo conocimiento de procesos de negocio de la entidad a auditar y deseable conocimiento de la industria.

Tercero: Conocimiento de SAP ERP a nivel de los módulos funcionales (ejemplo: FI-CO-MM-SD-PP-PM-QM, etc.) Deseable especialización más que en módulos SAP ERP, en ciclos de negocios "end to end" ejemplo: Ciclo compras-pago, ventas-cobro, existencia y gestion de stock, etc. 
Este conocimiento, se debe relacionar con los procesos de negocio de la entidad a ser auditada.

Cuarto: Conocimiento del modelo de datos de SAP ERP a nivel de tablas físicas funcionales, ya que es clave y auditor de procesos SAP que no domina esto, tendrá muchas limitaciones al alcance. 
Se debe conocer el modelo integrado de SAP ERP a nivel funcional y su relación con los procesos de negocio, a fin de cubrir pruebas de cumplimiento sobre el "customizing" y pruebas sustantivas de las transacciones SAP ERP imputadas históricamente.

Quinto: Conocimiento del modelo de autorización en SAP ERP, a fin de cubrir las pruebas de segregación funcional (SoD) de los procesos de negocio.

Cabe mencionar, que si bien el componente Basis (BC) es el corazón de SAP ERP, es recomendable que lo audite un auditor tecnológico especialista en TI y/o sistemas de información, lo cual permitirá cubrir la auditoría SAP ERP con un enfoque holístico.

¿Por qué la plataforma web para canales de denuncias anónimas es recomendable externalizarla? 4 consideraciones claves

El 25 de noviembre del 2009 se promulgó en Chile la ley 20.393 de responsabilidad penal de las personas jurídicas en los delitos de lavado de activos, financiamiento al terrorismo y cohecho. A partir de esta ley comenzó a proliferar la implementación de canales de denuncias anónimas, con el fin de dar cumplimento a uno de los requerimientos de este marco legal.

Antes de la promulgación de esta ley ya existían empresas multinacionales y algunas multilatinas que contaban con un canal de denuncias por medio de una plataforma web o correo electrónico y las entidades locales prácticamente no contaban con este tipo de plataformas, salvo algunas empresas que cotizan en bolsa local y que se adhieren generalmente a buenas prácticas globales o cumplen con alguna normativa como la ley Sarbanes Oxley por ejemplo por cotizar a su vez en la bolsa de Nueva York.

Cuando diversas entidades comenzaron a implementar el modelo de prevención de delitos, conforme a lo que estipula la ley 20.393, los canales de denuncias anónimas comenzaron a aumentar en formar exponencial en organizaciones de diversas industrias. 

Así es como se ven ciertos protocolos de denuncias que están relacionados con un simple correo electrónico de la empresa en donde los denunciantes pueden registrar sus denuncias y en otros casos, algunas entidades han implementado plataformas tecnológicas web desarrolladas y alojadas en sus servidores.

A continuación les comentaré las 4 desventajas y riesgos de contar con un canal de denuncias anónimas instalado en los servidores de las empresas, sea web o un correo electrónico:

1.- Existe desconfianza de parte de los denunciantes (internos y externos) cuando la plataforma es proveía por la empresa. Ej. Temores de seguimientos de IP por parte de la entidad y por ende perdida del anonimato, lo cual vulneraría la confidencialidad de la denuncia.

2.- No es recomendable colocar un correo electrónico de la empresa o entidad como canal de denuncias anónimas, ya que cualquier denuncia quedará en los servidores de la entidad siendo susceptibles de ser alterados en su integridad y/o confidencialidad antes de llegar a los miembros del comité de ética o de prevención de delitos.

3.- Al ser el canal de denuncias una plataforma web de la entidad, podría ser susceptible a alteraciones. Surgen cuestionamientos tales como: 

¿Qué pasa si las denuncias son alteradas o eliminadas antes de que llegen a los responsables de prevención de delitos u oficial de ética? 

¿Cómo se obtiene seguridad razonable respecto a la integridad y confidencialidad de las denuncias?

4.- Siempre las denuncias deben llegar de manera integra a más de 1 interlocutor, a fin de mantener un control por oposición de intereses. Esto se tiende a perder cuando existe sólo un correo electrónico o las plataformas web no cuentan con los "workflows" apropiados que contemplen a todos los interlocutores en un flujo de trabajo del canal de denuncias.

Adicional a lo antes mencionado, es importante tener siempre presente de que el éxito de los canales de denuncias anónimas, estará directamente relacionado con la difusión interna y la visibilidad que tenga para que los "stakeholders" externos puedan hacer sus denuncias de manera práctica y bajo un protocolo probado y divulgado. Al respecto, me he podido percatar que hay empresas que colocan el canal de denuncias lo menos visible posible, lo cual conlleva a no cumplir el objetivo, no siendo una buena práctica.

Finalmente, tengamos presente que el canal de denuncias anónimas, es el mejor aliado de las 3 líneas de defensa en la organización y opera como un muy buen control disuasivo generalmente.