¿Quién revisa el trabajo de la ciudad? Qué hace un auditor independiente

Cada año se auditan las cuentas de Boulder, como lo exige la ley de Colorado. Esa auditoría responde una pregunta importante: ¿están correctos los estados financieros de la ciudad? Lo que no responde es la pregunta que la mayoría de los residentes en realidad se hace: si el dinero compró lo que se suponía que debía comprar. En Boulder nadie tiene la tarea de responder esa pregunta de manera independiente. Así que hoy, las únicas personas que evalúan un programa de la ciudad son las mismas que lo manejan.

He hablado mucho en este sitio sobre contratar a un Auditor Municipal independiente que sea par del Administrador Municipal. Con razón, la gente pregunta qué significa eso, en qué consiste el trabajo y cómo decide un auditor qué revisar. Empecé mi carrera como auditor interno en American Express, así que este es uno de los pocos rincones del gobierno municipal donde puedo decir que ya hice el trabajo. Vamos a lo concreto.

Dos tipos distintos de auditoría

Una auditoría financiera revisa la contabilidad: examina los registros de la ciudad y termina en una opinión sobre si los estados financieros se presentan razonablemente. Boulder lo hace cada año, como todo gobierno local de Colorado está obligado a hacerlo, y lo hace bien.

Una auditoría de desempeño hace una pregunta distinta: ¿este programa hizo lo que debía hacer, a un costo razonable, y se podría hacer mejor? El Yellow Book federal, la norma con la que trabaja la mayoría de los auditores de gobierno en Estados Unidos, describe las auditorías de desempeño como un análisis objetivo que ayuda a quienes dirigen y supervisan un programa a mejorarlo, reducir costos y responder por los resultados. En la práctica suena así: ¿la revisión de permisos cumple los plazos que publica la ciudad? ¿El proyecto de infraestructura salió dentro del presupuesto, y si no, por qué? ¿Las horas extra de la policía son las que planeamos? ¿La ciudad cobra las tarifas que le deben?

Ese último tipo de pregunta se paga solo más seguido de lo que uno pensaría. En 2023, el auditor municipal de Atlanta encontró $197.8 millones en ingresos de agua sin cobrar, ligados a cortes de servicio aplicados de forma inconsistente. El auditor de Portland documentó un rezago de $1,400 millones en mantenimiento de infraestructura que nunca se financió. Eso debería sonarnos conocido, porque nuestra propia pila de mantenimiento diferido y proyectos de infraestructura sin fondos anda por los $400 millones.

Un auditor no fija políticas, no maneja programas y no le dice al Concejo cómo votar. Lo que produce es un informe público: qué revisamos, qué encontramos, qué recomendamos, y la respuesta por escrito de la administración impresa justo al lado. Después, el auditor regresa y verifica si las recomendaciones de verdad se cumplieron.

Por qué la línea de mando lo es todo

Boulder tiene un gobierno de concejo y administrador. Los votantes eligen a nueve miembros del Concejo, y el Concejo contrata a tres personas: el Administrador Municipal, el Abogado Municipal y el Juez Municipal. El Administrador Municipal maneja todo lo demás, lo que significa que casi todos los empleados de la ciudad le reportan, al final de la cadena, a una sola persona.

Boulder sí tiene hoy una función de auditoría interna, y la gente que trabaja ahí hace un trabajo real. Pero según la propia página de la ciudad, le reporta administrativamente al Director Financiero y funcionalmente a un Comité de Auditoría Interna "compuesto por el liderazgo de la ciudad", bajo una política que el Administrador Municipal aprobó este junio. Si sigues esa cadena hacia arriba, termina en el escritorio del Administrador Municipal. A un auditor cuyo jefe también es el jefe de todos los auditados le va a costar mucho escribir el informe que dice que el proyecto prioritario del jefe se descarriló. No lo digo para cuestionar la integridad de nadie. Es un problema estructural, y ninguna cantidad de buena fe lo arregla.

El sector privado resolvió esto hace mucho. En Amex, el departamento de auditoría no le reportaba a los ejecutivos cuyos procesos estábamos revisando; le rendía cuentas al comité de auditoría de la junta directiva. Las empresas públicas funcionan así justo por la razón de arriba: quien revisa el trabajo no puede trabajar para quien lo hizo.

Eso es lo que significa "par del Administrador Municipal". Y no hace falta enmendar nada para lograrlo. El Artículo II, Sección 12 de la Carta Municipal ya faculta al Concejo para nombrar a un auditor para las auditorías independientes que la carta exija o autorice por orden del Concejo. Simplemente nunca lo hemos usado.

La línea de mando es necesaria, pero por sí sola no basta. Los organismos profesionales que fijan las normas para los auditores de gobiernos locales (la Asociación de Auditores de Gobiernos Locales, ALGA, y la GAO a través del Yellow Book) coinciden en las demás protecciones, y una ordenanza que cree la oficina debería ponerlas todas por escrito:

• Destitución solo por causa justificada y con mayoría calificada. Despedir al auditor por un informe incómodo debería requerir más que una mala semana en el Concejo. Honolulu exige el voto de dos tercios del Concejo completo; San Diego exige dos tercios más la recomendación del comité de auditoría.
• Un periodo fijo que dure más que un Concejo. Honolulu usa seis años; San Diego, diez.
• Acceso sin restricciones a todo registro, sistema de datos y empleado, sin necesitar la firma de un jefe de departamento.
• Su propia partida presupuestaria, para que a la oficina no se le pueda dejar sin recursos en silencio.
• Informes públicos, con la respuesta de la administración adjunta.
• Un comité de auditoría con miembros de la comunidad que sepan de verdad de finanzas, auditoría o evaluación. Un esquema común es de dos miembros del Concejo y tres residentes.
• Normas reconocidas y revisión externa. Auditorías hechas conforme al Yellow Book o a las Normas Globales de Auditoría Interna del Instituto de Auditores Internos, con una revisión externa de pares cada tres años.

Ya oigo la réplica: "¡El Concejo ya le puede pedir al personal lo que quiera!" Es cierto. Pero que el Concejo le pida al Administrador Municipal que evalúe los programas del Administrador Municipal es el arreglo que ya tenemos, nada más que con más reuniones. Y el verdadero valor de un auditor es darle a la gente dentro del edificio, que ya sabe que algo no funciona, el respaldo para decirlo.

Tampoco es caro. Un grupo de residentes de Boulder publicó este verano una propuesta cuidadosa para una oficina de tres o cuatro personas con un costo menor a $1 millón al año, alrededor del 0.15% del presupuesto de la ciudad, que ronda los $590 millones. Gainesville, Florida, una ciudad con gobierno de comisión y administrador un poco más grande que la nuestra, opera una oficina de seis personas por unos $741,000.

Cómo se arma un plan anual de auditoría

Una oficina pequeña no puede revisarlo todo, y no debería intentarlo. Un equipo de tres o cuatro personas termina un puñado de auditorías completas al año, más revisiones cortas y seguimientos. Así que lo más importante que hace el auditor en todo el año es decidir qué revisar, y las normas profesionales son específicas sobre cómo hacerlo: basar el plan en una evaluación de riesgos documentada, actualizarla al menos una vez al año, recibir aportes del órgano de gobierno y de la administración, y que el órgano de gobierno apruebe el plan. Así se ve en la práctica.

1. Armar el universo de auditoría. Hacer una lista de todo lo que se podría auditar: cada departamento, programa, contrato grande, proyecto de infraestructura, sistema informático y fuente de ingresos. En una ciudad del tamaño de Boulder, eso son unos cuantos cientos de renglones en una hoja de cálculo.
2. Calificar el riesgo. Para cada renglón, preguntar cuánto dinero pasa por ahí, qué tan complejo es, si es nuevo o acaba de cambiar (un sistema nuevo, un impuesto nuevo, una dirección nueva), cuántos residentes dependen de él, qué tan expuesto está al fraude (el manejo de efectivo, las compras y la nómina siempre salen altos), y cuándo fue la última vez que alguien lo revisó y qué encontró. El resultado es una lista ordenada, no una corazonada.
3. Preguntar. Los miembros del Concejo, el Administrador Municipal, los jefes de departamento y el público opinan. Los jefes de departamento, sobre todo, saben dónde están los problemas; un buen auditor le pregunta a cada uno qué le quita el sueño. Una línea confidencial le permite a cualquier empleado o residente señalar desperdicio o fraude, y esos reportes alimentan el plan del año siguiente.
4. Ajustar el plan al personal. Tomar lo más alto de la lista, estimar las horas de cada auditoría y trazar la línea donde se acaban las horas. Reservar algo de tiempo para lo que nadie vio venir, y para dar seguimiento a recomendaciones anteriores.
5. Aprobarlo en público. El comité de auditoría revisa el plan y el Concejo lo aprueba, que es la "orden del Concejo" que pide la carta. Aquí importa mucho una regla: el Concejo aprueba el plan, pero no debería poder tachar una auditoría para proteger un programa favorito. Elegir los temas le corresponde al auditor. Eso es lo que significa la independencia en la práctica.
6. Hacer el trabajo, igual cada vez. Una reunión de planeación con el departamento, trabajo de campo (entrevistas, datos, documentos), un borrador de vuelta al departamento para que revise los hechos y responda por escrito, y luego un informe final público con esa respuesta adjunta.
7. Darle seguimiento hasta que quede hecho. Cada recomendación se sigue hasta que se implementa o hasta que el Concejo decide, de manera oficial, aceptar el riesgo. El auditor informa ese avance en público al menos una vez al año, y revisa el plan a mitad de año cuando cambian las circunstancias.

Si yo mismo esbozara el plan del primer año para Boulder, la parte de arriba de la lista casi se escribe sola: los proyectos de infraestructura y el rezago de mantenimiento diferido, si el impuesto climático está comprando la mitigación de incendios forestales que de verdad necesitamos, y si los tiempos de revisión de permisos coinciden con lo que la ciudad les dice a los solicitantes. Pero esa es mi lista. La lista del auditor debería salir de la evaluación de riesgos, y bien podría sorprendernos a todos. De eso se trata.

Lo que haría en el Concejo

Aprobar una ordenanza que cree la oficina con las protecciones de arriba. Contratar a un auditor con credenciales (CIA, CPA o CGAP, con experiencia real en auditoría de gobierno), integrar el comité de auditoría con residentes calificados y publicar el primer plan basado en riesgos en un plazo de seis meses. Y luego combinarlo con los otros dos compromisos de mi página de rendición de cuentas: cada programa nuevo llega con una meta y una fecha, y un programa que falla su meta dos veces regresa al Concejo para votar si continúa. Un auditor es lo que hace que esos compromisos se puedan verificar.

Cada año averiguamos si nuestros números cuadran. Ya es hora de saber si esos números sirven para algo.