La institución debe aplicar métodos apropiados para el seguimiento y, cuando sea aplicable, la medición de la efectividad del sistema de control interno.

Estos métodos deben demostrar la capacidad de los controles para contribuir al logro de los resultados planificados, tomando las medidas correctivas que sean necesarias cuando se presenta algún incumplimiento.

Deben definirse indicadores o métricas útiles en los niveles estratégicos y operativos de la institución para monitorear el desempeño en cuanto al logro de los objetivos institucionales, y deben implementarse mecanismos de monitoreo de los resultados y los desvíos.

La definición de los indicadores debe considerar los siguientes criterios de diseño:

• Factor clave a evaluar;
• Origen de la información;
• Frecuencia de medición;
• Metas y rangos de tolerancia;
• Responsables del seguimiento.

Los indicadores definidos para la medición del desempeño, deben revisarse periódicamente y mantenerse actualizados en función de los objetivos planteados, los riesgos que puedan afectarlos y otros cambios que puedan producirse en la organización o en el entorno.

La institución debe llevar a cabo auditorías del sistema de control interno a intervalos planificados para determinar si el sistema de control interno:

1. Satisface los requisitos de esta norma y los requisitos del sistema de control interno establecidos por la organización;
2. Cumple la normativa legal vigente;
3. Se ha implementado y se mantiene de manera eficaz.

Se deben planificar las auditorías tomando en consideración el estado, la importancia y los riesgos asociados a los procesos y áreas a auditar, así como los resultados de auditorías previas. La institución debe establecer uno o varios procedimientos documentados para:

1. Definir las responsabilidades y los requerimientos para planificar y realizar las auditorías;
2. Determinar los criterios de auditoría, el alcance de la misma y la metodología a aplicar;
3. Establecer los registros aplicables, y la modalidad y destinatarios de la presentación de los resultados;
4. Definir criterios para la selección de los auditores, asegurando la objetividad e imparcialidad del proceso de auditoría. Los auditores no deben auditar su propio trabajo. Deben mantenerse registros de las auditorías y de sus resultados.

La dirección responsable del área auditada debe asegurarse que se realicen las correcciones y que se toman las acciones correctivas o de mejora necesarias, sin demora injustificada, para eliminar los desvíos detectados y sus causas.

Las actividades de seguimiento deben incluir la verificación de la implementación de los planes de mejoramiento y la efectividad de las acciones tomadas.