La Ley Sarbanes-Oxley (SOX) fue creada en 2002 como respuesta a una serie de escándalos financieros corporativos que expusieron graves fallas en la transparencia financiera, la gobernanza corporativa y los controles internos de grandes empresas en Estados Unidos, entre los cuales se pueden mencionar: [sic]
Ante estos escándalos los inversionistas comenzaron a dudar en la fiabilidad de los estados financieros de las empresas.
El congreso de Estados Unidos en el año 2002 decidió abordar la falta de controles internos adecuados y la debilidad de las regulaciones que permitieron estos fraudes, además se enfocó en establecer normas más estrictas para las empresas públicas, las auditorías externas y los ejecutivos de las empresas.
Paul Sarbanes (senador demócrata) y Michael Oxley (representante republicano) lideraron el desarrollo de la legislación, de ahí el nombre Sarbanes-Oxley Act.
La Ley fue presentada y debatida en el Congreso a principios de 2002, se aprobó con amplio apoyo bipartidista el 30 de julio de 2002, siendo firmada por el presidente George W. Bush.
Dentro de los objetivos primordiales para la creación de esta fueron:
- Establecer medidas más estrictas de rendición de cuentas para las empresas públicas y sus ejecutivos.
Dentro de los principales cambios establecidos en la ley se pueden mencionar los siguientes:
- Responsabilidad ejecutiva: Los CEO y CFO deben certificar personalmente la precisión de los estados financieros (Sección 302). Si se descubre fraude, los ejecutivos pueden enfrentar sanciones penales.
- Controles internos: Las empresas deben establecer y mantener controles internos sólidos para garantizar la exactitud de la información financiera (Sección 404).
- Regulación de auditores: Se creó la Public Company Accounting Oversight Board (PCAOB) para supervisar a las firmas de auditoría y establecer estándares éticos.
- Protección a denunciantes: La Ley protege a los empleados que denuncien prácticas fraudulentas dentro de sus empresas (whistleblowers).
- Sanciones severas: Aumentaron las multas y penas de prisión para quienes cometan fraudes financieros.
La ley SOX aplica para aquellas empresas que cotizan en bolsa es decir para aquellas empresas públicas que se encuentran registradas en la SEC (Securities and Exchange Commission). En el ámbito costarricense y por ser un país que ofrece servicios, muchas empresas han optado por establecer sus centros de servicios en el país, por lo que estas compañías deben cumplir con lo establecido en esta ley de ahí su importancia en el conocimiento de esta.
Adicionalmente las firmas de auditoría externa también deben cumplir con ciertos requerimientos para poder certificar los estados financieros y sus controles de estas empresas públicas.
La ley cuenta con varias secciones en las que se abordan varios temas de interés sin embargo una de las secciones de más importancia es la Sección 404 Evaluación de controles internos por la gerencia y el auditor externo.
Esta sección establece una serie de tipo de controles que deben ser evaluados por [la] entidad entre ellos se encuentran:
- Controles de Nivel de Entidad (Entity-Level Controls, ELCs): Controles generales que afectan la organización completa, como el tono ético de la alta dirección y la supervisión del Consejo de Administración.
- Controles de Proceso: Abarcan procesos específicos, como cuentas por cobrar, cuentas por pagar, inventarios y otros procesos operativos.
- Controles Generales de TI (ITGCs): Garantizan la integridad de los sistemas de TI, incluyendo acceso a datos, cambios en sistemas y continuidad del negocio.
Los controles establecidos deben mantener componentes claves como lo son:
- Diseño: El control debe ser diseñado para prevenir o detectar errores o fraudes.
- Implementación: Los controles deben estar efectivamente implementados.
- Prueba de eficacia operativa: Se debe verificar periódicamente si los controles operan como se espera.
La gerencia de las compañías debe documentar y certificar por escrito una evaluación de la efectividad de los controles internos e indicar alguna debilidad significativa o material y por otra parte el auditor externo debe emitir un informe independiente sobre esa evaluación de control interno.
La ley SOX, marcó un antes y después en la transparencia y responsabilidad de las Compañías, obligando a las empresas a fortalecer sus controles internos y elevar los estándares éticos, adicionalmente fortaleció la función de la auditoría como un elemento clave en las empresas.
Hoy en día los auditores no solo revisan cifras, sino que deben entender y validar los procesos que las generan. Esta ley no solo fortaleció el rol del auditor externo, sino que también elevó la importancia del auditor interno como garante de la efectividad operativa y cumplimiento normativo.
Gregory Avalos
Auditor de Grant Thornton
