· Web viewdicho riesgo; y que al mes de mayo del 2017, las instituciones habían gestionado en el SICOP un total de 9.673 trámites aproximadamente. Es evidente, que al no haberse

San José, 31 de agosto del 2017AI-INF-010-2017

SeñorHelio Fallas VenegasMinistro de Hacienda

ASUNTO: Informe de control interno sobre la evaluación del Sistema Integrado de Compras Públicas (SICOP)

Estimado señor:

En cumplimiento de nuestras funciones fiscalizadoras, nos permitimos presentarle el informe de control interno sobre la evaluación del Sistema Integrado de Compras Públicas (SICOP); cuyo objetivo consistió en evaluar las gestiones realizadas por la Dirección General de Administración de Bienes y Contratación Administrativa (DGABCA) como órgano rector del Sistema de Administración de Bienes y Contratación Administrativa (SABCA), en el proceso de implementación del sistema SICOP, a fin de determinar si los controles establecidos brindan una seguridad razonable al cumplimiento del objeto del Contrato administrativo suscrito entre el Ministerio de Hacienda (MH) y Radiográfica Costarricense S.A. (RACSA), para la puesta en funcionamiento de dicho sistema, así como la confiabilidad y oportunidad de la información para la toma de decisiones.

El estudio comprendió la revisión de las actividades realizadas por la DGABCA, en su condición de órgano rector del sistema SICOP, en relación con los aspectos vinculados con los procesos de gobierno corporativo, gestión de riesgos y controles establecidos en la supervisión de los requerimientos contratados, lineamientos emitidos a las instituciones de la Administración Central que deben llevar sus procesos de contratación administrativa en el sistema citado, y minutas de las sesiones del Comité Directivo; durante el periodo de revisión de mayo del 2015 a junio del 2017.

Las actividades de este estudio se realizaron de acuerdo con la normativa aplicable al ejercicio de la Auditoría Interna del Sector Público, y estuvo a cargo de la Licda. Tatiana Camacho Sánchez, Profesional de Informática 2, y la supervisión de la Licda. Sonia Gin Lun, Coordinadora de Auditoría Área de Egresos de esta Auditoría Interna.

Los resultados y recomendaciones que contiene este informe fueron comunicados el 8 de agosto del 2017, a la Licda. Martha Cubillo Jiménez, Viceministra de Egresos a.i.; Lic. Fabián Quirós Alvarez, Director, Lic. Luis Segura Amador, Subdirector, ambos de la DGABCA, y a la Licda. Jeannette Leveridge Earle, Directora de Fiscalización de Adquisiciones y Registro de Bienes; quienes estuvieron de acuerdo con los resultados comentados.

1. RESULTADOS OBTENIDOS

Generalidades

El Sistema Integrado de Compras Públicas es una plataforma tecnológica para compras públicas, que permite a las proveedurías del Estado realizar en forma electrónica, las operaciones de compra y venta de productos y servicios. Funciona a través de un portal de comercio electrónico que opera como una ventanilla única, accesible por medio de Internet.

Este sistema ha sido un proyecto país desarrollado por Gobierno Digital, que forma parte del Plan Nacional de Desarrollo del Gobierno de la República y cuya coordinación está a cargo de la Comisión Intersectorial de Gobierno Digital.

Edificio Fischel, Avenidas 3 y 5, Calle 2, 50 mts norte Edificio Correos de Costa Rica. San José, Costa Rica. Tel:(506)2221-2864 (506)2539-4232 Fax: (506)2222-4486 - www.hacienda.go.cr

http://www.hacienda.go.cr/

AI-INF-010-2017Página 2 de 13

En el año 2008, a partir de un convenio suscrito entre el Instituto Costarricense de Electricidad (ICE) y la Comisión Intersectorial de Gobierno Digital, el ICE asumió la responsabilidad económica y tecnológica de desarrollar este sistema digital de compras de última generación, bajo la dirección de la Secretaría Técnica de Gobierno Digital.

A su vez, el ICE trasladó la administración del "Sistema Electrónico de Compras Públicas Mercado en Línea Mer-Link" a la empresa de su propiedad Radiográfica Costarricense S. A. (RACSA), la cual está autorizada para vender, en el mercado nacional e internacional, directa o indirectamente, servicios de asesoramiento, consultoría, capacitación y cualquier otro producto o servicio afín a sus competencias.

El 15 de enero de 2015, mediante el Decreto Ejecutivo N° 38830-H-MICITT, se establece el "Sistema Integrado de Compras Públicas" (en adelante SICOP), como plataforma tecnológica de uso obligatorio de toda la Administración Central, para la tramitación de los procedimientos de contratación administrativa y para los actos y contratos que de ellos se deriven. Estipulando además, la obligatoriedad en el uso del sistema SICOP por parte de todo el Gobierno Central, a más tardar al 31 de diciembre del 2016.

En el artículo N°3 de ese decreto, se instaura a la empresa RACSA, como proveedora del Estado, de la plataforma tecnológica que servirá de base para el SICOP, así como cualquier otro servicio de las tecnologías de información y comunicación (TICs) asociados a la plataforma; suscribiendo para ello un contrato administrativo con el Ministerio de Hacienda, en su calidad de órgano rector del Sistema de la Administración Financiera, en el cual se regularon las tarifas sobre uso de la plataforma base para el SICOP, así como los niveles y términos del servicio, que deberá operar en la modalidad de 24 horas los 7 días de la semana, los 365 días del año.

El 5 de mayo del 2015 se firma el Contrato administrativo entre el MH y RACSA para la puesta en funcionamiento del sistema SICOP; cuyo alcance comprende la contratación de la prestación de servicio de plataforma tecnológica que servirá como base para el SICOP, según las obligaciones contractuales establecidas; para automatizar todas las etapas del proceso de adquisiciones públicas de la Administración Central, incluyendo el registro de Proveedores y el catálogo de Bienes y Servicios; así como los Convenios Marco y Contratos Marco; en forma escalonada y de acuerdo al Plan de trabajo anexo al contrato indicado.

Dicho contrato se suscribe como actividad contractual desarrollada entre sujetos de Derecho Público, la cual no está sujeta a los procedimientos de contratación, con fundamento en el artículo 2 inciso c) de la Ley de Contratación Administrativa (Ley N° 7494) y el artículo 130 de su Reglamento (Decreto Ejecutivo N° 33411-H); con un plazo de un año, prorrogable por períodos iguales y consecutivos hasta por cuatro años, salvo que alguna de las partes manifieste su decisión de darlo por terminado, con al menos seis meses de antelación a la fecha de su vencimiento, estableciendo los siguientes costos de servicio:

Cuadro N° 1Costos del servicio contratado con la empresa RACSA

Costos por Atención de Requerimientos de Adaptación del sistema SICOPHora adicional a las 3200 anuales acordadas $ 100

Fuente: Contrato administrativo suscrito entre el MH y RACSA para la puesta en funcionamiento del SICOP

El Ministerio de Hacienda conformó un Comité Directivo para brindar seguimiento al avance en la implementación de la plataforma tecnológica que servirá de base para el SICOP, de los procesos de contratación administrativa de las instituciones de la Administración Central, y autorizar las modificaciones al Plan de Trabajo que resulten necesarias para garantizar el cumplimiento del objeto del contrato.

Edificio Fischel, Avenidas 3 y 5, Calle 2, 50 mts norte Edificio Correos de Costa Rica. San José, Costa Rica. Tel:(506) 2221-2864 (506)2539-4232 Fax: 2222-4486 - www.hacienda.go.cr

Costos del Uso de la Plataforma SICOPPrimer Año $ 285.720,57 Pagaderos en 2 tractos:

$142.860,28 (30 junio del 2015) $142.860,29 (31 de diciembre del 2015)

Siguientes Tres Años $ 571.441,14Costo anual

Pagaderos en Tractos Mensuales de $ 47.620,10



Dicho Comité está conformado por el Viceministro de Egresos, el Director de la DGABCA, la Subdirectora de la DTIC del Ministerio de Hacienda, Gerente General, el Jefe del Departamento de Proyectos, Director Comercial de RACSA, y como invitados para participar en las sesiones se encuentran el responsable de la implementación del SICOP y la Administradora del contrato por parte del MH.

1.1. Sobre la valoración y administración de los riesgos del sistema SICOP

Se determinó que a la fecha del presente informe, la DGABCA en su condición de órgano rector del SABCA y del Sistema SICOP, carece de un documento formal en donde conste la identificación y valoración de los riesgos potenciales que podrían incidir en la implementación exitosa del sistema digital unificado de compras públicas, con su correspondiente plan de acción que le permita a esa Dirección administrar los riesgos asociados a su uso y gestión por parte del Ministerio de Hacienda como ente rector del Sistema de Administración Financiera, y de las instituciones usuarias de la Administración Central; labor que se debió realizar a partir del momento en que mediante decreto N° 38830-H-MICITT (enero 2015), y la firma del Contrato entre el MH y RACSA (mayo 2015) citados, se dispuso que el Sistema SICOP será la plataforma tecnológica de uso obligatorio, y que la adaptación de dicho sistema estaría regulada según los términos contractuales acordados entre las partes.

La situación descrita anteriormente limita el establecimiento de controles o planes de mitigación que permitan gestionar los riesgos que podrían impactar la implementación del sistema SICOP, tales como:

Exista una dependencia con la empresa RACSA para uso del sistema SICOP por parte las instituciones de la Administración Central, imposibilitando a su vez la oportunidad de analizar y proponer posibles términos contractuales que velen por los intereses del MH, de forma más razonable y justa ante este escenario de contratación,

La constitución por medio del Decreto Ejecutivo mencionado, de la empresa RACSA como el oferente único que puede suplir la necesidad de una solución automatizada a la medida, para el proceso de compras públicas, y que esto a su vez, podría implicar otros riesgos,

Una posible especulación en el establecimiento de las tarifas por el servicio de uso de la plataforma de SICOP ante la falta de competencia en el mercado o una baja calidad en la prestación de los servicios contratados,

El riesgo de no poder ofrecer una continuidad en el negocio, en particular en el proceso compras públicas de las instituciones de la Administración Central, originado por el término y no renovación del contrato administrativo con RACSA, lo cual genera para el MH la obligación como ente rector, de formular y planificar las medidas y los planes de contingencia que permitan hacer frente a dicha situación, en caso de concretarse; entre otros. En consulta realizada a los Directores de la DGABCA y de la DTIC, se verificó que el MH no dispone de un plan de contingencias que le permita gestionar dicho riesgo; y que al mes de mayo del 2017, las instituciones habían gestionado en el SICOP un total de 9.673 trámites aproximadamente.

Es evidente, que al no haberse efectuado de forma suficiente y documentada, el análisis y determinación de los riesgos que podrían impactar el proceso de implementación del sistema SICOP, durante el lapso de ejecución del contrato, así como de la etapa previa y posterior a ésta; en los distintos ámbitos que competen: operativo, legal, funcional, financiero y técnico; imposibilita a la Administración el poder efectuar una toma de decisiones más fundamentada y razonada, acerca de los riesgos que se deben asumir y pagar su costo, y aquellos que se decide evaluar y atender; por medio de una formulación de diferentes líneas de acción, plasmadas a través de Planes de Acción o de Mitigación a los riesgos, que tengan como objetivo el minimizar las posibilidades de que los riesgos identificados se materialicen, o en su defecto, si se materializaran, el poder mitigar sus efectos negativos en el proceso de implementación de este sistema, identificando para ello los recursos financieros, tecnológicos y humanos requeridos.




Cabe resaltar la importancia de realizar dicho ejercicio, con la participación de los funcionarios de la DGABCA que posean el conocimiento técnico y criterio funcional experto en esta materia, considerando las implicaciones que tiene la contratación suscrita con RACSA para la puesta en funcionamiento del sistema SICOP, ya que el objeto contractual es solo un arrendamiento de uso de una plataforma tecnológica que servirá de base al SICOP y que deberá ser ajustada para que reúna la totalidad de los requerimientos técnicos, funcionales, legales y presupuestarios que el MH determine con respecto al proceso de compras públicas; pero que al término de vencimiento del plazo contractual, todos los elementos del sistema y su plataforma tecnológica, así como los elementos del servicio brindado por RACSA son y serán propiedad de dicha empresa.

Situación diferente se presenta cuando el MH, contrata a una empresa para que provea los servicios de desarrollo de software, permitiendo que por medio de un aplicativo se automaticen los procesos operativos deseados, según la necesidad de la institución; donde el producto final de la contratación es la entrega del sistema automatizado a la medida, el cual vendría a ser propiedad de este Ministerio, garantizando con ello de algún modo, la continuidad en la prestación de los servicios proporcionados, después de terminado el plazo contractual.

Al respecto, la norma 3.1 acerca de la valoración del riesgo, de las Normas de control interno para el Sector Público (N-2-2009-CO-DFOE), emitidas por la Contraloría General de la República, establece que:

“El jerarca y los titulares subordinados, según sus competencias, deben definir, implantar, verificar y perfeccionar un proceso permanente y participativo de valoración del riesgo institucional, como componente funcional del SCI.”

1.2. Sobre los lineamientos y directrices emitidas por la DGABCA como órgano rector del SABCA

De acuerdo con la revisión de las circulares emitidas por la DGABCA en su condición de órgano rector del Sistema de Administración de Bienes y Contratación Administrativa, durante el periodo comprendido de julio de 2015 a junio de 2017, se constató que esa Dirección ha emitido lineamientos y directrices en torno al uso y gestión de los procesos de contratación administrativa que les corresponde llevar a las instituciones de la Administración Central en el sistema SICOP, que contribuyen al cumplimiento de los objetivos conferidos a esa dependencia en la Ley 8131, LAFRPP, referentes a:

La capacitación de los funcionarios encargados de los procedimientos de contratación administrativa de las instituciones usuarias.

La obtención del certificado digital y sus renovaciones. La gestión de mesa de ayuda para atención de incidentes y consultas sobre la plataforma

electrónica. Pautas y recomendaciones para la custodia de las Llaves de Apertura de los trámites en el SICOP. Dar a conocer el Instructivo para la publicación de avisos por Institución en el SICOP. La divulgación del Manual “Cambio de estado de la solicitud de contratación” para permitir al

“Administrador de la Institución” cambiar el estado de la solicitud de contratación a “En elaboración”. La divulgación del Manual para la Instalación y configuración del Componente Firma Digital. La comunicación de la puesta en producción de mejoras en el SICOP. La instrucción de que la gestión para la obtención de roles y perfiles requeridos por los funcionarios

de cada institución para el uso del sistema SICOP, se deberá efectuar a través del funcionario que cada Institución designado como Administrador de dicho sistema.

La divulgación del Manual que detalla los roles del sistema SICOP, con el fin de que las instituciones tengan el conocimiento de que aplica para cada rol, a fin de que el Administrador los asigne, según corresponda.

La solicitud realizada a las instituciones usuarias del sistema SICOP, para que envíen a la DGABCA, el procedimiento instaurado por la Administración para la asignación de los roles de los




funcionarios que requieren hacer uso de esta plataforma; a fin de dar seguimiento y determinar las políticas que en esta materia esa Dirección estime necesarias para su correcta aplicación.

No obstante lo anterior, se requiere que la DGABCA como órgano rector del SABCA, aún incremente sus esfuerzos en velar y supervisar por que los procedimientos instaurados por las instituciones usuarias del SICOP, dispongan de los mecanismos de control mínimos requeridos para una adecuada administración de los roles asignados a los funcionarios involucrados en los procesos de compras públicas, dado el riesgo de vulnerabilidad de la información relacionada con los procesos de contratación que se administra por medio de esta herramienta.

Sobre el particular, las Normas Técnicas para la Gestión y el Control de las Tecnologías de Información establece que la organización debe garantizar, de manera razonable, la confidencialidad, integridad y disponibilidad de la información, lo que implica protegerla contra uso, divulgación o modificación no autorizados, daño o pérdida u otros factores disfuncionales.

1.3. Sobre el control de horas contratadas para la atención de ajustes a la plataforma del SICOP La DGABCA, como dependencia encargada de la administración del contrato por parte de este Ministerio, no cuenta con un registro o control propio y sumario, de las horas aplicadas en la atención de cada uno de los requerimientos, correspondientes a los ajustes realizados a la plataforma del sistema SICOP y que son descontadas de las 3200 horas anuales pactadas en la cláusula 4.13 del contrato suscrito entre MH y RACSA, para la puesta en funcionamiento del sistema SICOP; que permita a la Administración efectuar un control cruzado, para conciliación de la información recopilada con la proporcionada por RACSA, en su calidad de proveedor del servicio, todo ello con el fin de asegurar una adecuada gestión de dichos recursos.

El colaborador responsable de la implementación del SICOP por parte del Ministerio, no tiene instrumentalizado un control por horas de las actividades que constituyeron el Plan de Trabajo (Anexo N°1 del contrato) y que por tanto, no se tiene un control de las horas consumidas en atención de requerimientos de la plataforma SICOP. Y que los requerimientos se plantearon en términos de días y que, el Comité Directivo del SICOP analiza en iguales términos, el avance que se tiene en el desarrollo de éstos.

Adicionalmente señaló, que para la nueva fase de desarrollo de requerimientos, después de finalizada la implementación inicial del SICOP, se está planteando un procedimiento para atender y dar seguimiento a los requerimientos.

Al respecto, la cláusula octava acerca de los administradores del contrato mencionado, dispone que está dentro de sus responsabilidades: supervisar la correcta ejecución del contrato y velar por el cabal cumplimiento de todas y cada una de las obligaciones de las partes, así como gestionar y facilitar los aspectos técnicos y administrativos que se requieren.

La situación expuesta, no permite a la Administración proporcionar un grado de seguridad razonable de que se esté haciendo un uso eficiente de las horas de servicio en desarrollo, que la empresa RACSA proyectó y presupuestó, dentro del costo de servicio que se está pagando de acuerdo al contrato en mención; y que además, se puedan evitar o detectar posibles errores en la contabilización de las horas por parte de RACSA.

De igual forma, la carencia descrita imposibilita a la Administración, el conocer con detalle, el costo en horas desarrollo, que presupuesta o planifica la empresa RACSA para cada uno de los distintos requerimientos del sistema SICOP; imposibilitando contar con historial estadístico de los insumos necesarios para facilitar la realización de comparaciones y estimaciones, a partir de las estadísticas recopiladas sobre el tema durante la ejecución del contrato; generando como consecuencia, que la aprobación de los tiempos propuestos por RACSA, para el desarrollo los nuevos requerimientos requeridos por el SICOP, podrían no ser una decisión aproximada a lo real, al no considerar la curva de aprendizaje.

En lo referente a la toma de decisiones, dentro del escenario de una posible nueva contratación de los servicios prestados por RACSA con respecto al sistema SICOP; lo expuesto, dificulta el análisis y evaluación,




de si esta modalidad de contratación en la cual se establece un número fijo de horas, para la atención y desarrollo de nuevos requerimientos o ajustes en la plataforma del sistema SICOP, resulta la más eficiente para el Ministerio de Hacienda, o si en su defecto, sería más eficiente la contratación de dichas horas bajo demanda y aplicando una tarifa debidamente acordada por ambas partes, para ese tipo de servicio.

Al respecto, las Normas de Control Interno para el Sector Público establece entre los objetivos del Sistema de Control Interno garantizar la eficiencia y eficacia de las operaciones, de forma tal que contribuya a que la organización utilice sus recursos de manera óptima, y al logro de los objetivos institucionales.

1.4. Necesidad de disponer de una metodología oficial para la presentación y aprobación de requerimientos para la implementación del SICOP

Se determinó que los miembros integrantes del Comité Directivo del SICOP, como los responsables designados por parte del MH para la implementación de ese sistema y la administración del contrato, no disponen de una metodología oficial para la presentación, aprobación y trámite de los nuevos requerimientos de las adaptaciones a realizar al sistema SICOP; con el propósito de lograr un adecuado seguimiento y control, tanto de la ejecución y avance en su desarrollo, así como del consumo de las horas contratadas para tales efectos. Para lo cual es importante, se consideren al menos los siguientes elementos de control:

a) Procedimiento formal para efectuar la presentación y trámite del nuevo requerimiento, que permita formular la manera idónea y estándar, para atender cada requerimiento para ajustar el sistema SICOP.

b) Formulario estándar para la presentación del requerimiento, en el que se contemple una descripción detallada y clara , cronograma de actividades a efectuar con la correspondiente estimación en horas y los recursos asignados, la fecha propuesta de inicio para su desarrollo y la fecha de entrega del requerimiento.

c) Un apartado para registrar el proceso de evaluación y aprobación del requerimiento, en donde se consignen los nombres, puestos que ocupan y firmas de los funcionarios encargados de la aprobación, la fecha de la aprobación y la justificación de la aprobación o no del requerimiento analizado.

Sobre el particular, el responsable de la implementación del SICOP y la administradora del contrato por parte del MH, indicaron que para la ejecución de los nuevos requerimientos (fase de desarrollo posterior a la de la implementación inicial del SICOP), se acordó un nuevo protocolo, donde RACSA presenta una propuesta expresada en horas, para que el Comité Directivo de SICOP, analice, apruebe y en caso de estar de acuerdo con lo propuesto, se proceda con el desarrollo del requerimiento; sin embargo, a la fecha no han elaborado un procedimiento formal para la presentación y trámite del nuevo requerimiento.

La ausencia de dicha metodología, provoca que no queden debidamente justificados y documentados todos los detalles referentes al proceso de trámite y aprobación de los nuevos requerimientos de ajuste del sistema SICOP, tales como los ya citados anteriormente; así como los términos acordados entre el MH y RACSA para la ejecución de los requerimientos aprobados, para su respectivo desarrollo en el sistema SICOP; situaciones que limitan la rendición de cuentas sobre el actuar de los distintos funcionarios participantes de dicho proceso.

Asimismo, al no estar estandarizada y documentada, para todos los requerimientos del sistema SICOP, la manera en que esta labor se debe efectuar, podría provocar que el proceso de aprobación seguido por los funcionarios involucrados, sea efectuado con base en criterios subjetivos , en vez de técnicos, funcionales, legales y/o financieros, y que además, no están quedando debidamente documentados, con el respectivo respaldo del juicio profesional aplicado en dichas labores.

Sobre el particular, las Normas de Control Interno para el Sector Público señala que el jerarca y los titulares subordinados tienen la responsabilidad de emitir instrucciones a fin de que las políticas, normas y




procedimientos para el cumplimiento del Sistema de Control Interno estén debidamente documentados, oficializados y actualizados, y sean divulgados y puestos a disposición para su consulta.

1.5. Sobre las minutas de las sesiones del Comité Directivo del SICOP

De acuerdo con lo establecido en la cláusula 5.12 del contrato citado y la práctica acostumbrada, las sesiones oficiadas por el Comité Directivo del SICOP, constituyen el ámbito definido para la toma de decisiones gerenciales, funcionales y técnicas relacionadas con todo aquello que atañe al proceso de implementación del sistema SICOP y que por ende; las minutas tomadas de dichas sesiones, son el respaldo documental de los detalles importantes que soportan esas decisiones.

Producto del análisis de la información registrada en las minutas de las sesiones efectuadas por el Comité Directivo, se determinaron las siguientes observaciones:

a) No se incorporan en dichos documentos la definición de los nuevos requerimientos de las adaptaciones a realizar al SICOP, que son aprobados por el Comité Directivo, tales como: justificación y descripción del requerimiento, las horas estimadas aprobadas para su desarrollo, recursos a utilizar, fecha de inicio y fecha de finalización, entre otros; los cuales constituyen elementos básicos de respaldo, acerca de los términos en que éste aprueba la ejecución de cada requerimiento, contribuyendo en la mejora del seguimiento en el avance y su ejecución.

b) No muestran evidencia de que la empresa RACSA, como proveedor del servicio de desarrollo de los ajustes a la plataforma tecnológica, presente para la consideración y análisis del Comité Directivo, una estimación del costo del desarrollo de cada requerimiento, expresado en: descripción de actividades a realizar, horas estimadas a aplicar, recursos asignados, fechas propuestas de inicio y finalización del desarrollo, entre otros; los cuales son elementos básicos a considerar para efectuar una adecuada valoración y aprobación.

Al respecto, el responsable de la implementación del SICOP y la administradora del contrato por parte del MH, manifestaron que el análisis y comprobación del cumplimiento por parte de RACSA, de los plazos establecidos para la atención de los requerimientos del Plan de Trabajo; así como las justificaciones de las decisiones de aprobar o no un nuevo requerimiento de ajuste al sistema SICOP, quedan debidamente plasmadas y documentadas en las minutas de las sesiones efectuadas por el Comité Directivo.

Sobre el particular, el Decreto Ejecutivo N° 38830-H-MICITT, denominado: “Creación del Sistema Integrado de Compras Públicas como plataforma tecnológica de uso obligatorio de la Administración Central para la Tramitación de los procedimientos de Contratación Administrativa”, en su artículo N° 4, dispone que el Ministerio de Hacienda, a través de la DGABCA y la Dirección de Tecnologías de la Información y Comunicación (DTIC) determinan la totalidad de los requerimientos técnicos, funcionales, legales y presupuestarios que debe cumplir la plataforma tecnológica que servirá de base para el SICOP.

Con relación al tema del Comité Directivo, la cláusula 5.12 del contrato administrativo suscrito entre el Ministerio de Hacienda y RACSA, para la puesta en funcionamiento del Sistema Integrado de Compras Públicas, establece que dentro de sus funciones está dar seguimiento al avance en la implementación de la plataforma en la Administración Central y autorizar las modificaciones al Plan de Trabajo, que resulten necesarias para garantizar el cumplimiento del objeto del contrato. Derivado de dichas funciones asignadas, se deprende la responsabilidad de efectuar la labor de análisis y aprobación de los nuevos requerimientos que requiera la plataforma del sistema.

Las situaciones comentadas, imposibilitan una eficaz fiscalización de la labor efectuada por parte del Comité Directivo, en materia de revisión y aprobación de los requerimientos de ajustes del sistema SICOP, así como la evaluación del grado y la calidad de las labores de seguimiento ejecutadas por el MH, en aras de velar por el fiel cumplimento de todas las obligaciones contractuales, en procura de la consecución del objeto del




contrato, constituido por la obtención de la plataforma tecnológica que servirá como base para el sistema SICOP, para la tramitación de los procedimientos de contratación administrativa que realicen las instituciones de la Administración Central. Lo que a su vez, limita una evaluación posterior de la eficacia de la gestión del proceso como tal, lo cual va en detrimento de la transparencia, la evaluación de resultados y la rendición de cuentas en el uso y la salvaguarda de los fondos públicos, por parte del Ministerio de Hacienda.

1.6. Sobre la necesidad de conformar un expediente único

Se determinó que a la fecha de este informe, la documentación que se lleva tanto física como electrónica, por parte de los funcionarios de la DGABCA designados en representación del MH como Administrador del Contrato y el funcionario responsable de la implementación de los requerimientos de los ajustes que le corresponde realizar a RACSA al Sistema SICOP, así como la que se produce por parte del Comité Directivo, como respaldo de su gestión, no se lleva en un expediente administrativo único y en forma centralizada, de toda la documentación que se genera durante la ejecución del Contrato suscrito entre el MH y RACSA para la puesta en funcionamiento del SICOP, cuyo plazo de vigencia se estableció por un año renovable hasta por tres años más, el cual vence en mayo de 2019.

Esta condición dificulta el fácil acceso de toda la documentación generada durante la ejecución del contrato, como respaldo de la gestión realizada por el administrador del contrato, el responsable de la implementación del SICOP y el Comité Directivo para dar seguimiento y control al cumplimiento del objeto contractual en estudio, por parte de los órganos fiscalizadores y demás usuarios que requieren consultarla, al encontrase ésta dispersa y bajo la custodia de las distintas partes involucradas en el proceso de implementación de este sistema, así como el riesgo de una posible pérdida o extravío de alguna de esta documentación, al no encontrarse conformada, centralizada y controlada integralmente en un expediente único, situación que podría tener efectos adversos en la rendición de cuentas y el principio de transparencia.

Al respecto, las Normas de Control Interno para el Sector Publico Costarricense, en el punto 4.4.1, dispone lo siguiente: “4.4.1 Documentación y registro de la gestión institucional. El jerarca y los titulares subordinados, según sus competencias, deben establecer las medidas pertinentes para que los actos de la gestión institucional, sus resultados y otros eventos relevantes, se registren y documenten en el lapso adecuado y conveniente, y se garanticen razonablemente la confidencialidad y el acceso a la información pública, según corresponda. ”

Asimismo, la norma de control interno 5.5, establece lo siguiente: “5.5 Archivo Institucional. El jerarca y los titulares subordinados, según sus competencias, deben implantar, comunicar, vigilar la aplicación y perfeccionar políticas y procedimientos de archivo apropiados para la preservación de los documentos e información que la institución deba conservar en virtud de su utilidad o por requerimiento técnico o jurídico. En todo caso, deben aplicarse las regulaciones de acatamiento obligatorio atinentes al Sistema Nacional de Archivos/…Lo anterior incluye lo relativo a las políticas y procedimientos para la creación, organización, utilización, disponibilidad, acceso, confidencialidad, autenticidad, migración, respaldo periódico y conservación de los documentos en soporte electrónico, así como otras condiciones pertinentes.”

2. CONCLUSIONES

Desde que se definió que el sistema SICOP será de uso obligatorio para que las Proveedurías de las instituciones de la Administración Central realicen sus procesos de contratación administrativa, la DGABCA como órgano rector del Sistema de Administración de Bienes y Contratación Administrativa, ha emitido una serie de lineamientos y directrices en los últimos tres años, que contribuyen al cumplimiento de los objetivos y funciones conferidas a esa Dirección en la Ley 8131, LAFRPP, en la materia objeto de estudio.

No obstante, se determinaron algunos aspectos vinculados con los procesos de gobierno corporativo, gestión de riesgos y de control examinados, que requieren ser revisados y fortalecidos referentes a la supervisión periódica y estandarización de los procedimientos instaurados para la asignación de roles a los funcionarios de las instituciones usuarias del SICOP, la valoración y administración de los riesgos asociados a la implementación de ese sistema, el control de las horas contratadas para la atención de ajustes a la




plataforma tecnológica, carencia de una metodología oficial para la presentación y aprobación de los requerimientos, las minutas de las sesiones del Comité Directivo, y la conformación de un expediente único.

Lo anterior, a fin de que la labor de fiscalización y supervisión que le corresponde ejercer al MH a través del Comité Directivo y responsables designados para la administración del contrato e implementación del sistema, se realice con una mayor eficiencia y efectividad en procura de garantizar en forma razonable el cumplimiento del objeto contractual suscrito con la empresa RACSA.

3. RECOMENDACIONES

Para colaborar con la Administración, en el fortalecimiento del control interno del proceso de implementación del Sistema Integrado de Compras Públicas, recomendamos a ese Despacho, requerir a las instancias responsables la implementación de las siguientes acciones:

Al Ministro

Girar las instrucciones correspondientes al Director General de Administración de Bienes y Contratación Administrativa para que en su condición de órgano rector del Sistema de Administración de Bienes y Contratación Administrativa, con el propósito de que se implementen las siguientes acciones de mejora:

3.1 Identifique, valore y documente los principales riesgos que podrían impactar la eficiencia y eficacia de los procesos de contratación que se llevan en el SICOP, así como, elaborar el plan de acción correspondiente que le permita gestionar y administrar dichos riesgos, tomando en consideración los aspectos señalados en el punto 1.1 de este informe.

3.2 Continuar con los esfuerzos que realiza la DGABCA como órgano rector del SABCA en la emisión de lineamientos y directrices que promuevan el mejoramiento de la gestión de los procesos de contratación administrativa que se llevan en el SICOP por parte de las instituciones de la Administración Central.

3.3 Dar seguimiento, a fin de supervisar que los procedimientos instaurados por las instituciones usuarias para la asignación y administración de roles y perfiles del SICOP, disponen de los elementos y controles mínimos necesarios para el resguardo y protección de la información de los procesos de contratación que se llevan en ese sistema, y que éstos se cumplen, de acuerdo con lo indicado en el punto 1.2 de este informe.

3.4 Establecer los mecanismos de control necesarios a fin de que a lo interno de la DGABCA, se lleve un historial estadístico de las horas aplicadas por RACSA en la atención de cada uno de los requerimientos definidos por el MH, y cuantificar en forma acumulativa el total de horas consumidas por mes y por año, durante la vigencia del plazo del contrato, sobre los ajustes que se realicen a la plataforma tecnológica del SICOP, que permita ejercer un control cruzado de las horas presupuestadas de los requerimientos aprobados por el Comité Directivo en comparación con las horas realmente aplicadas.

3.5 En coordinación y con la asesoría técnica de la Dirección de Tecnologías de Información y Comunicación, disponer de una metodología formal que estandarice el procedimiento a seguir, para efectos de la presentación y aprobación de requerimientos para la realización de ajustes al sistema SICOP, los elementos mínimos de control que se deberán aplicar, la forma y el nivel de detalle en que se documentará la participación de cada una de las partes involucradas, como respaldo de su gestión, tomando en consideración los aspectos señalados en los puntos 1.4 y 1.5 de este informe, entre otros aspectos.

3.6 Realizar las acciones de coordinación y comunicación correspondientes entre las partes involucradas, a fin de que se proceda a la conformación de un expediente único, donde se mantenga centralizada y en forma integral, toda la documentación física y electrónica relevante generada como respaldo de la gestiones




realizadas durante la ejecución y vigencia del plazo establecido, en atención al cumplimiento al objeto y las obligaciones contraídas en el respectivo contrato administrativo suscrito entre el MH y RACSA.

Por último, nos permitimos recordar que las recomendaciones contenidas en el presente informe, están sujetas a las disposiciones del artículo 37 de la Ley Nº 8292, Ley General de Control Interno, que establecen un plazo de 30 días hábiles, para ordenar al titular subordinado la implantación de las recomendaciones. Si los subordinados discrepan de ellas, dentro del plazo de Ley, deben proponer las soluciones alternas para la valoración de esta Auditoría Interna.

Por lo anterior, le agradecemos comunicar a esta Dirección dentro del plazo señalado la decisión que se tome respecto a las recomendaciones que se plantean, así como el plan de acción que se defina para el efectivo cumplimiento.

Dejándolo informado para la toma de decisiones, se suscribe:

Atentamente,

Máster Ronald Eduardo Fernández RomeroSubdirector

Licda. Sonia Gin LunCoordinadora de Auditoría Área de Egresos

REFR/sgl/tcsCe: Licda. Martha Cubillo Jiménez, Viceministra de Egresos a.i. Lic. Manuel E. Ramos Campos, Director de Tecnologías de Información y Comunicación Estudio N°003-2017 Criterio de auditoría 14-2017_Sistemas informáticos




ANEXO DE NORMATIVA

Ley General de Control Interno Nº 8292 (LGCI)

1) Sobre la responsabilidad sobre el sistema de control interno:

“Artículo 10.-Responsabilidad por el sistema de control interno. Serán responsabilidad del jerarca y del titular subordinado establecer, mantener, perfeccionar y evaluar el sistema de control interno institucional. Asimismo, será responsabilidad de la administración activa realizar las acciones necesarias para garantizar su efectivo funcionamiento.”

2) Sobre los deberes del jerarca y de los titulares subordinados en el sistema de control interno:

“Artículo 12. Deberes del jerarca y de los titulares subordinados en el sistema de control interno.// …c) Analizar e implantar, de inmediato, las observaciones, recomendaciones y disposiciones formuladas por la auditoría interna, la Contraloría General de la República, la auditoría externa y las demás instituciones de control y fiscalización que corresponde…”

3) Sobre la identificación y valoración de riesgos:

“Artículo 14.-Valoración del riesgo. En relación con la valoración del riesgo, serán deberes del jerarca y los titulares subordinados, entre otros, los siguientes:

a) Identificar y analizar los riesgos relevantes asociados al logro de los objetivos y las metas institucionales, definidos tanto en los planes anuales operativos como en los planes de mediano y de largo plazos.b) Analizar el efecto posible de los riesgos identificados, su importancia y la probabilidad de que ocurran, y decidir las acciones que se tomarán para administrarlos.c) Adoptar las medidas necesarias para el funcionamiento adecuado del sistema de valoración del riesgo y para ubicarse por lo menos en un nivel de riesgo organizacional aceptable.d) Establecer los mecanismos operativos que minimicen el riesgo en las acciones por ejecutar.”

4) Sobre la autoevaluación del sistema de control interno:

“Artículo 17.-Seguimiento del sistema de control interno. Entiéndase por seguimiento del sistema de control interno las actividades que se realizan para valorar la calidad del funcionamiento del sistema de control interno, a lo largo del tiempo; asimismo, para asegurar que los hallazgos de la auditoría y los resultados de otras revisiones se atiendan con prontitud.

En cuanto al seguimiento del sistema de control interno, serán deberes del jerarca y los titulares subordinados, los siguientes:

a) Que los funcionarios responsabilizados realicen continuamente las acciones de control y prevención en el curso de las operaciones normales integradas a tales acciones.




b) Que la administración activa realice, por lo menos una vez al año, las autoevaluaciones que conduzcan al perfeccionamiento del sistema de control interno del cual es responsable. Asimismo, que pueda detectar cualquier desvío que aleje a la organización del cumplimiento de sus objetivos.”

Normas técnicas para la gestión y el control de las Tecnologías de Información (N-2-2007-CO-DFOE)

5) Sobre la Gestión de riesgos:

"1.3 Gestión de riesgos. La organización debe responder adecuadamente a las amenazas que puedan afectar la gestión de las TI, mediante una gestión continua de riesgos que esté integrada al sistema específico de valoración del riesgo institucional y considere el marco normativo que le resulte aplicable."

6) Sobre el Control de Acceso:

"1.4.5 Control de acceso. La organización debe proteger la información de accesos no autorizados. Para dicho propósito debe:

d. Establecer procedimientos para la definición de perfiles, roles y niveles de privilegio, y para la identificación y autenticación para el acceso a la información, tanto para usuarios como para recursos de TI.f. Implementar el uso y control de medios de autenticación (identificación de usuario, contraseñas y otros medios) que permitan identificar y responsabilizar a quienes utilizan los recursos de TI. Ello debe acompañarse de un procedimiento que contemple la requisición, aprobación, establecimiento, suspensión y desactivación de tales medios de autenticación, así como para su revisión y actualización periódica y atención de usos irregulares."

Normas de control interno para el Sector Público(N-2-2009-CO-DFOE)

7) Sobre las Actividades de Control:

“4.1 Actividades de control. El jerarca y los titulares subordinados, según sus competencias, deben diseñar, adoptar, evaluar y perfeccionar, como parte del SCI, las actividades de control pertinentes, las que comprenden las políticas, los procedimientos y los mecanismos que contribuyen a asegurar razonablemente la operación y el fortalecimiento del SCI y el logro de los objetivos.”

8) Sobre los requisitos de las Actividades de Control:

“4.2 Requisitos de las actividades de control. Las actividades de control deben reunir los siguientes requisitos:

c. Documentación. Las actividades de control deben documentarse mediante su incorporación en los manuales de procedimientos, en las descripciones de puestos y procesos, o en documentos de naturaleza similar. Esa documentación debe estar disponible, en forma ordenada conforme a criterios previamente establecidos, para su uso, consulta y evaluación.”

9) Sobre los formularios uniformes:

“4.4.2 Formularios uniformes. El jerarca y los titulares subordinados, según sus competencias, deben disponer lo pertinente para la emisión, la administración, el uso y la custodia, por los medios atinentes, de




formularios uniformes para la documentación, el procesamiento y el registro de las transacciones que se efectúen en la institución. Asimismo, deben prever las seguridades para garantizar razonablemente el uso correcto de tales formularios.”



Documents

· Web viewdicho riesgo; y que al mes de mayo del 2017, las instituciones habían gestionado en el SICOP un total de 9.673 trámites aproximadamente. Es evidente, que al no haberse