La institución debe llevar a cabo auditorías del sistema de control interno a intervalos planificados para determinar si el sistema de control interno:

1. Satisface los requisitos de esta norma y los requisitos del sistema de control interno establecidos por la organización;
2. Cumple la normativa legal vigente;
3. Se ha implementado y se mantiene de manera eficaz.

Se deben planificar las auditorías tomando en consideración el estado, la importancia y los riesgos asociados a los procesos y áreas a auditar, así como los resultados de auditorías previas. La institución debe establecer uno o varios procedimientos documentados para:

1. Definir las responsabilidades y los requerimientos para planificar y realizar las auditorías;
2. Determinar los criterios de auditoría, el alcance de la misma y la metodología a aplicar;
3. Establecer los registros aplicables, y la modalidad y destinatarios de la presentación de los resultados;
4. Definir criterios para la selección de los auditores, asegurando la objetividad e imparcialidad del proceso de auditoría. Los auditores no deben auditar su propio trabajo. Deben mantenerse registros de las auditorías y de sus resultados.

La dirección responsable del área auditada debe asegurarse que se realicen las correcciones y que se toman las acciones correctivas o de mejora necesarias, sin demora injustificada, para eliminar los desvíos detectados y sus causas.

Las actividades de seguimiento deben incluir la verificación de la implementación de los planes de mejoramiento y la efectividad de las acciones tomadas.