" J

/ .1 /

/, ..... . x· _ _

·le.·"' . /X.. / ' ' .11t / c.. .. l / .

, ' '::\ . . ·-

CONTRALORÍA

Oficio No. CSCJN/171/2016

Ciudad de México, 18 de noviembre de 2016.

LIC. MARÍA EUGENIA CORRALES ESCALANTE DIRECTORA GENERAL DE RECURSOS HUMANOS E INNOVACIÓN ADMINISTRATIVA P R E S E N T E

En cumplimiento al Programa Anual de Control y Auditoría 2016 aprobado por el Comité de Gobierno y Administración, el 14 de octubre de 2016 se emitió, a través del oficio CSCJ N/145/2016, la orden para practicar la revisión relativa a verificar el grado de "Implementación de los Sistemas de Control Interno y de Administración de Riesgos en la Suprema Corte de Justicia de la Nación", correspondiente al periodo del 1 º de enero de 2015 al 31 de agosto de 2016.

Con fundamento en el punto 11.3, apartado "Informe de auditoría", numeral 2, último párrafo de la Guía General de Auditoría\ se presenta el informe número DED/2016/32, otorgando un plazo de 1 O días hábiles contados a partir del día siguiente de la recepción del presente para remitir la documentación e información que solvente las recomendaciones emitidas.

l. OBJETIVO

Verificar el grado de implementación de los Sistemas de Control Interno y de Administración de Riesgos en la Suprema Corte de Justicia de la Nación.

11. ALCANCE

La . evaluación consistió en verificar que el modelo del Sistema de Control Interno a implementarse en la SCJN comprenda los siguientes componentes: 1) ambiente de control; 2) administración de riesgos; 3) actividades de control; 4) informacióny comunicación y 5) supervisión, con base en el "Marco Integrado de Control Interno" 2 (MICI),modelo recomendado por la Auditoria Superior de la Federación para el sector público.

/ �I : t�\ _,,. ' j l .

JC.. . j� �/MIIQl'G/JM . e ... ./( É l �foJ.me �t�sentado b r la Dirección General_ de Au?itoría será autorizado por el_ Contralor, quien lo enviará al superior jerárquico del

órgano a,uditado, al titular e dicho órgano y a las instancias que en cada caso se requiera.

Se verificó que el diseño del Sistema de Administración de Riesgos comprenda los elementos necesarios para un buen funcionamiento.

111. ANTECEDENTES

La Auditoría Superior de la Federación (ASF) mediante oficio AETICC/0698/2016 del 13 de abril de 2016, dio a conocer a la Oficialía Mayor de la SCJN el informe del resultado del "Estudio sobre la Implementación de Estrategias para el Fortalecimiento de los Sistemas de Control Interno en el Sector Público Federal".

El resultado del "Diagnóstico del Proceso General de Administración de Riesgos", a octubre de 2015, la ASF señala que fue de 53 puntos, en una escala de O a 100, por lo que la SCJNse ubicó en estatus medio (rango de 40 a 69 puntos), conforme al modelo de valoración utilizado por dicho órgano de fiscalización.

Al respecto, la ASF identificó los siguientes aspectos del proceso general de administración de riesgos de la SCJN:

a) "Metodología de administración de riesgos. [. . .]el Ministro Presidente de la SCJN por conducto de laOficialía Mayor y el personal responsable de coordinar dicho proceso, deben implementar una metodología institucional (con énfasis en la promoción de una cultura de administración de riesgos,técnicas específicas en la materia, criterios de tolerancia, mitigación y control, e información}, quepermita la identificación, análisis y priorización de los riesgos; la evaluación de controles; la respuestaal riesgo, y las políticas para su prevención y mitigación. Lo anterior, para que el personal responsableen la institución enfrente de manera sistemática y ordenada los riesgos asociados a sus objetivos."

b) "Establecimiento de objetivos estratégicos. [. . .] La SCJN proporcionó evidencia de un proyecto dePlan Estratégico de Desarrollo Institucional 2015 - 2018 cuyos objetivos y metas están alineados a su marco regulatorio.

c) "Riesgos asociados a todos los objetivos/ Inventario de riesgo. [. . .]Es importante que el Oficial Mayor y los mandos superiores dependientes directos de este, se aseguren de instrumentar y manteneractualizado un inventario de riesgos en el que: reconozca formalmente la existencia de todos ellos;se identifique al responsable de su administración, y se precise su naturaleza (tipo, descripción,severidad, estrategias de mitigación, control y seguimiento}, la clasificación de los mismos(estratégico, financiero, operativo, legal, tecnológico, a la integridad, a la reputación o imagen,protección de datos, propiedad intelectual, tercerización de procesos, disponibilidad de sistemas yseguridad de la información institucional, entre otros); su priorización e influencia en las actividadesde la SCJN, así como el estado que guarda su control y administración, para su posterior informe alas instancias correspondientes."

d) "Definición de niveles de tolerancia al riesgo. [. . . ] Se obtuvo evidencia de que una vez que sea probada la metodológica para la administración de riesgos en la SCJN, se definirán los parámetrospara establecer niveles de tolerancia al riesgo".

e) "Establecimiento de un grupo de trabajo, comité de riesgos u homólogo [. . .] La SCJN proporcionóevidencia de estar en proceso de constituir un grupo de trabajo, comité u homólogo en materia deriesgos, una vez que sea probada la metodológica para la administración de riesgos en la SCJN."

e c Integrado d Control Interno (MICI) para el Sector Público único, es aplicable a Jos tres órdenes de gobierno y a Jos tres

poderes (Ejecutivo, Legislativo y Judicial), proporciona un modelo general para establecer, mantener y mejorar el sistema de control 2 interno institucional.

"[. . .] El grupo de trabajo o comité de riesgos, deben contar con reglas, lineamientos o disposiciones para documentar e informar a las instancias superiores los resultados de sus evaluaciones y recomendaciones. "

f) "Revisión de los riesgos institucionales en las sesiones del consejo de administración, la junta de gobierno, comité o instancia especializada. [. . .] Una vez aprobada la Metodológica para la Administración de Riesgos en la SCJN, se determinará la participación de miembros del Órgano de Gobierno en la revisión de los riesgos institucionales."

g) "Comentarios del contralor, auditor interno o instancia de supervisión análoga al reporte de riesgos. [. . .]el Oficial Mayor y los mandos superiores, en el marco de sus atribuciones, deben solicitar el apoyo por parte de la contraloría, auditoría interna o instancia de supervisión análoga para revisar y evaluar la efectividad del proceso de administración de riesgos en los procesos sustantivos y adjetivos relevantes por los cuales se logran los objetivos institucionales, así como ·de las áreas o procesos susceptibles a actos de corrupción.

h) "Evaluaciones al proceso de administración de riesgos. [. . .]el Oficial Mayor y los mandos superiores de la SCJN deben efectuar las acciones correspondientes de manera que se supervise el proceso de administración de riesgos, con base en las mejores prácticas internacionales."

i) "Automatización del proceso de administración de riesgos. [. . .]La SCJN presentó evidencia de estar en proceso de implementar una herramienta automatizada para la ejecución del proceso general de administración de riesgos."

Por lo que se refiere al "Diagnóstico de la Implementación del Sistema de Control Interno", la ASF informó que se actualizó a 73 puntos, en una escala de O a 100, que corresponde a un estatus alto.

Asimismo, dicho órgano de fiscalización informó la evolución del diagnóstico de la implementación de los componentes del Sistema de Control Interno 2013-2015, destacando lo siguiente:

Ambiente de Control 5 19 19 Administración de Ríes os 3 7 8 Actividades de Control 12 15 15 1 nformación comunicación 12 20 20 Su ervisión 8 11 11

Totales 40 72 73

A continuación se muestran los resultados relevantes del diagnóstico realizado a la SCJN, destacando los siguientes comentarios de la ASF:

"Ambiente de Control.

"[. . .]es necesario que el Oficial Mayor y los mandos superiores implementen y fortalezcan una política de integridad, que considere la obligatoriedad de establecer, difundir y evaluar el apego a los códigos de ética y de conducta, así como la obligación del propio Titular y de los miembros de los órganos de gobierno respecto de la supervisión y el compromiso con la integridad, los valores éticos, la transparencia, la rendición de cuentas, el control interno y la evaluación de riesgos. "

"[. . .] los Titulares y los mandos superiores deben asegurarse que existan canales complementarios de comunicación como líneas éticas o líneas de denuncia de actos contrarios a la integridad, los cuales deben garantizar el anonimato y la confidencialidad de manera que se incentive su utilización."

3

"[. . .] se debe instrumentar un programa de desarrollo de capacidades y profesionalización para todos /os servidores públicos, de acuerdo a su nivel de responsabilidad, con el propósito de asegurar que cuentan con el perfil para proveer una seguridad razonable sobre la consecución de los objetivos institucionales y de rendición de cuentas. Se deberá hacer énfasis en las materias de control interno, administración de riesgos e integridad."

"Evaluación de Riesgos.

"Con la evidencia proporcionada por la SCJN se tuvo evidencia de que se encuentra en una fase inicial de implementación de acciones para la administración de riesgos.

"[. . .] es responsabilidad del Titular y los mandos superiores, mantener actualizado el proceso de administración de riesgos de manera que se asegure, la constante identificación, análisis, evaluación, atención, monitoreo y comunicación de los riesgos asociados con las actividades y procesos institucionales, a efecto de promover la consecución de sus objetivos estratégicos, con eficacia y eficiencia, así como garantizar la confiabilidad de la información financiera y no financiera que se genera y el cumplimiento de las disposiciones jurídicas que regulan su actuación.

"Actividades de Control

"[. . .] el Oficial Mayor, los mandos superiores y el resto del personal, en el ámbito de sus atribuciones, deben identificar y documentar las acciones de mejora para fortalecer la calidad de los controles internos en procesos clave para el logro de los objetivos institucionales, así como a la protección y salvaguarda en la aplicación de los recursos, de manera que se dé seguimiento a /as actividades específicas conforme a /os plazos y responsables de su ejecución. Tales acciones constituyen el Programa de Trabajo de Control Interno el cual debe mantener una estrecha alineación con el Programa de Trabajo de Administración de Riesgos."

"Información y Comunicación

"[. . .] el Titular, los mandos superiores y los responsables de las áreas de tecnologías de información, por /os medios conducentes, deben establecer y actualizar, conforme al entorno y la evolución normativa gubernamental (como la creación del Sistema Nacional Anticorrupción), los aspectos siguientes:

1. "Políticas y procedimientos para obtener, generar, utilizar y salvaguardar los documentos e información respecto de la gestión institucional, con el reporte correspondiente al logro de objetivos y metas, en virtud de su relevancia y de los requerimientos técnicos o jurídicos, incluidos los informes y registros financieros, presupuestarios, operacionales y de resultados de auditorías internas, externas o de fiscalización.

·

2. "Un Plan de Tecnologías de la Información, que precise la planeación, contratación y administración de bienes y servicios, en materia de tecnologías de la información y comunicaciones, y seguridad de la información.

3. "Planes de recuperación de desastres y de continuidad de la operación para asegurar el correcto y continuo funcionamiento de los sistemas de información y las operaciones de la SCJN en casos de contingencia, su seguridad física y su mantenimiento, así como la validación de la integridad, la confiabilidad y la precisión de la información procesada y almacenada."

"Supervisión

"La SCJN no proporcionó evidencia que permita concluir que el componente de supervisión considera la ejecución de evaluaciones independientes y autoevaluaciones al sistema de control interno."

Con el propósito de evaluar el grado de atención a los comentarios emitidos por la ASF, y cumplir con la parte que le corresponde a la Contraloría de evaluar el Sistema de Control Interno como parte de dicho sistema, se emiten las siguientes:

Ai�1J1c 4

IV. OBSERVACIONES

Uno. Implementación del Sistema de Control Interno.

a) Se constató que la implementación y operación del Sistema de Control lnterno3 en la SCJN continúan pendientes debido a que el "Plan Específico para la Implementación del Control Interno en la Suprema Corte de Justicia de la Nación" (PEICI) continúa en proceso de revisión y actualización, de acuerdo a lo informado por la Dirección General de Recursos Humanos e Innovación Administrativa.

La Contraloría con el propósito de apoyar en la implementación del Sistema de Control Interno, mediante el oficio CSCJN/098/2016 del 13 de julio de 2016, envió a la Oficialía Mayor de este Alto Tribunal, el documento denominado "Proyecto de Acuerdo General del Comité de Gobierno y Administración de la Suprema Corte de Justicia de la Nación por el que se Establecen las Políticas para la Implementación del Control Interno en la Suprema Corte de Justicia" con la finalidad de que se enriqueciera, con las observaciones y comentarios a que hubiera lugar.

Al respecto, con oficio OM/DGRHIA/651/2016 del 26 de octubre de 2016, la Directora General de Recursos Humanos e Innovación Administrativa (DGRHIA), remitió el documento señalado en el párrafo anterior, en archivo electrónico con los comentarios de la Oficialía Mayor.

b) De la revisión al proyecto del PEICI y tomando como base el Marco Integrado de Control Interno (MICI) sugerido por la ASF, se observó que en dicho plan de implementación no se contemplan los siguientes aspectos relevantes para un buen funcionamiento del Sistema Control Interno:

1. Ambiente de Control.

};;>- Acciones para implementar un procedimiento para evaluar el apego a los códigos de ética y de conducta.

};;>- Supervisión del funcionamiento del control interno.

};;>- No se hace referencia respecto a la estructura organizacional, asignación de responsabilidades y delegación de autoridad para alcanzar los objetivos institucionales, prevenir la corrupción y rendir cuentas de los resultados alcanzados.

};;>- Acciones para promover los medios necesarios para contratar, capacitar y retener profesionales competentes.

};;>- Evaluación del desempeño del control interno en la institución y hacer responsables a todos los servidores públicos por sus obligaciones específicas en materia de control interno.

No obstante, del análisis a la documentación e información proporcionada por la DGRHIA, se verificó que ciertos elementos que forman parte del componente de Ambiente de Control se encuentran dispersos en otras acciones, por lo que se deberá incorporar como parte del

· o rol interno es un proceso que tiene por objeto proporcionar una seguridad razonable sobre la consecución de los objetivos institucionales y la salvaguarda de los recursos públicos, así como prevenir la corrupción. 5

componente citado, ya que se trata de un sistema en el que los componentes interactúan entre sí y evitar acciones aisladas.

2. Administración de Riesgos.

� Definición de niveles de tolerancia al riesgo.

� Considerar el riesgo de corrupción.

� Identificar, analizar y responder a los riesgos.

3. Actividades de Control.

� Diseñar, actualizar y garantizar la suficiencia e idoneidad de las actividades de control establecidas para lograr los objetivos institucionales y responder a los riesgos.

� Existencia de controles apropiados para hacer frente a los riesgos que se encuentran presentes en cada uno de los procesos que se realizan, incluyendo los riesgos de corrupción.

� Implementación de actividades de control a través de políticas, procedimientos y otros medios de similar naturaleza.

4. Comunicación e Información y Supervisión.

Por lo que se refiere a estos componentes no hay observación debido a que cumplen con las actividades mínimas necesarias para su funcionamiento.

En respuesta al oficio mediante el cual esta Contraloría dio a conocer los resultados preliminares de la presente evaluación, la DGRHIA manifestó lo siguiente:

"Con relación a /os aspectos relevantes del Marco Integrado de Control Interno (MICI) que se menciona no fueron contemplados en el PLAN ESPECÍFICO PARA LA IMPLEMENTACIÓN DEL CONTROL INTERNO EN LA SUPREMA CORTE DE JUSTICIA DE LA NACIÓN, se informa que éstos serán incorporados en el documento de mérito, a partir de /os términos en que se emita el ACUERDO GENERAL DEL COMITÉ DE GOBIERNO Y ADMINISTRACIÓN DE LA SUPREMA CORTE DE JUSTICIA DE LA NACIÓN POR EL QUE SE ESTABLECEN LAS POLÍTICAS PARA LA IMPLEMENTACIÓN DEL CONTROL JNTERNO EN LA SUPREMA CORTE DE JUSTICIA DE LA NACIÓN; considerando para ello las características de operación de /as áreas que implementarán el Modelo de Control Interno.

"No obstante lo anterior, se continuará con la actualización del referido PLAN para que su estructura esté acorde al citado instrumento normativo y a /as condiciones de operación que prevalezcan al momento de su implementación."

Dos. Implementación y operación del modelo de Administración de Riesgos.

a) De la revisión al modelo del sistema de administración de riesgos de la SCJN se constató que el sistema no ha sido autorizado por lo que su implementación y operación continúan pendientes.

6

La Contraloría con el propósito de coadyuvar en la implementación del Sistema de Administración de Riesgos en la SCJN, y con el apoyo de la Secretaría Ejecutiva de Administración del Consejo de la Judicatura Federal (CJF), obtuvo una herramienta denominada "Aplicación Informática del Sistema de Administración de Riesgos" (AISAR), para ser adoptada por la SCJN, cuya entrega formal fue el 7 de octubre de 2015, entre personal de la Dirección General de Innovación Planeación y Desarrollo Institucional por parte del CJF y de la Dirección General de Tecnologías de Información, Dirección de Sistemas Jurídicos Administrativos, Dirección General de Recursos Humanos e Innovación Administrativa y la Contraloría por parte de la SCJN.

b) Debido a la falta de implementación del modelo de administración de riesgos, no se han atendido los siguientes aspectos:

� Contar con un inventario de riesgos asociados a los objetivos que la SCJN tiene establecidos en el Plan Cuatrienal Estratégico Administrativo 2015-2018 (Plan Cuatrienal). El reconocimiento formal de su existencia, identificación de los responsables que se encargarán de administrarlos, precisión de la naturaleza del riesgo (tipo, descripción, severidad, estrategias de mitigación, control y seguimiento), clasificación de los mismos (estratégico, financiero, operativo, legal, tecnológico, a la integridad, a la reputación o imagen, protección de datos, propiedad intelectual, tercerización de procesos, disponibilidad de sistemas y seguridad de la información institucional, entre otros); su priorización e influencia en las actividades de la SCJN, así como el estado que guarda su control y administración, para su posterior informe a las instancias correspondientes.

� Definición de niveles de tolerancia al riesgo.

� Establecimiento de un grupo de trabajo, comité de riesgos u homólogo.

� Revisión de los riesgos institucionales en las sesiones del comité de riesgos u homólogo.

� Comentarios del auditor interno o instancia de supervisión análoga al reporte de riesgos.

� Evaluaciones al proceso de administración de riesgos.

Cabe mencionar que el Plan Cuatrienal Estratégico Administrativo 2015-2018 (Plan Cuatrienal) considera tres objetivos por alcanzar, de los cuales el tercero señala lo siguiente:

"Establecer Jos Instrumentos de control que contribuyan al cumplimiento de Jos objetivos y metas definidos en la planeación institucional, fortaleciendo los procesos de transparencia y rendición de cuentas hacia la sociedad."

Asimismo, el Plan Cuatrienal está integrado por siete líneas estratégicas, la séptima línea "Fortalecimiento de los mecanismos del control interno" establece entre otras acciones las siguientes:

7

• "Diseñar mecanismos actualizados de control interno con un enfoque Integral, que contribuyan al cumplimiento de los objetivos y metas institucionales, su seguimiento y evaluación de los riesgos."

• ''Diseñar e instrumentar una metodología de riesgos, acorde con la planeación estratégica institucional, que incluya, éntre otros, la identificación, el análisis, la evaluación y las medidas de control para cada riesgo detectado, así como la aplicación de mecanismos para el seguimiento a los riesgos y la reevaluación de los mismos."

• "Incorporar actividades de control en las políticas y procedimientos establecidos en las áreas administrativas y de apoyo a la función jurisdiccional, para mitigar los riesgos de los proyectos y procesos que pudieran afectar el cumplimiento de los objetivos y metas institucionales."

• "Fortalecer las actividades de control sobre las tecnologías de información y comunicaciones que apoyan la operación de los procesos internos, a través de la mitigación de los riesgos que pudiesen afectar el cumplimiento de las metas y objetivos Institucionales."

• "Establecer mecanismos para que cada área administrativa lleve a cabo periódicamente autoevaluaciones de control interno de sus procesos; ello permitirá determinar la obligatoriedad para que los responsables de estos procesos evalúen y detecten deficiencias de manera oportuna para llevar a cabo acciones correctivas."

• "Establecer canales de comunicación abiertos que fomenten la colaboración entre las propias áreas y los servidores públicos, para el logro de los objetivos y metas institucionales, así como el cumplimiento del marco normativo."

• "Instrumentar un sistema de seguimiento de los resultados de las auditorías Internas y externas a la actividad administrativa, que contenga información sobre la recurrencia de quejas y denuncias, la incidencia de observaciones relevantes o no relevantes y las recomendaciones, para determinar las áreas de oportunidad a ser mejoradas."

En respuesta al oficio mediante el cual esta Contraloría dio a conocer los resultados preliminares de la presente evaluación, la DGRHIA manifestó lo siguiente:

• "En lo relativo al presente resultado, se coincide en que efectivamente la metodología no ha sido aplicada; en tal sentido, se informa que ésta se implementará a partir de la emisión del ACUERDO GENERAL DEL COMITÉ DE GOBIERNO Y ADMINISTRACIÓN DE LA SUPREMA CORTE DE JUSTICIA DE LA NACIÓN POR EL QUE SE ESTABLECEN LAS POLÍTICAS PARA LA IMPLEMENTACIÓN DEL CONTROL INTERNO EN LA SUPREMA CORTE DE JUSTICIA DE LA NACIÓN; considerando para ello los términos en que se apruebe dicho Acuerdo y las características de operación de las áreas que implementarán el Modelo de Control Interno."

V. CONCLUSIÓN.

La revisión se practicó con base en la información proporcionada por la unidad auditada, atendiendo al Plan Cuatrienal Estratégico Administrativo 2015-2018, Marco Integrado de Control Interno y a las mejores prácticas, en consecuencia, existe una base para sustentar la opinión.

La implementación y operación de los Sistemas de Control Interno y de Administración de Riesgos en la SCJN continúan pendientes debido a que el "Plan Específico para la Implementación del Control Interno en la Suprema Corte de Justicia de la Nación" se encuentra en proceso de revisión y actualización.

3Mnffep1J1é 8

Con el propósito de apoyar en la implementación del Sistema de Control Interno, esta Contraloría elaboró el documento denominado "Proyecto de Acuerdo General del Comité de Gobierno y Administración de la Suprema Corte de Justicia de la Nación por el que se Establecen las Políticas para la Implementación del Control Interno en la Suprema Corte de Justicia" con la finalidad de que se enriqueciera, con las observaciones y comentarios a que haya lugar y se tenga un documento consensuado entre la Oficialía Mayor y la Contraloría de este Alto tribunal para su posterior presentación a la instancia superior, del cual se obtuvieron comentarios de parte de la Oficialía Mayor.

Ambos documentos son complementarios por lo que se requiere de la autorización por la instancia facultada.

Recomendación General.

El área responsable de impulsar e implementar el Sistema de Control Interno institucional deberá contar con la logística, planes y procedimientos debidamente diseñados para que una vez autorizados los documentos "Plan Específico para la Implementación del Control Interno en la Suprema Corte de Justicia de la Nación" y "Proyecto de Acuerdo General del Comité de Gobierno y Administración de la Suprema Corte de Justicia de la Nación por el que se Establecen las Políticas para la Implementación del Control Interno en la Suprema Corte de Justicia" se encuentre en posibilidad de iniciar la fase de implementación, en su modo de producción, de manera oportuna.

PODER JUDICIAL DE IJ FOIERACION SUPIEllA CllTE DE JU5TIOA li lA IAOÓI

I

CGITRALORU

Lic. M1�\ h�1� Lómez Director GPneral de Auditoría

JCDOM/MDIG/JMMC

Lic. José Manuel Martínez Cortés Director de Evaluación del Desempeño

Estas firmas forman parte al Informe de Auditoría número DED/2016/32, relativo a verificar el grado de implementación de los Sistemas de Control Interno y de Administración de Riesgos, por el periodo del 1 de enero de 2015 al 31 de agosto de 2016.

9