3.1. Procedimientos de revisión y autorización de la información financiera y la descripción del SCIIF, a publicar en los mercados de valores, indicando sus responsables, así como de documentación descriptiva de los flujos de actividades y controles (incluyendo los relativos a riesgo de fraude) de los distintos tipos de transacciones que puedan afectar de modo material a los estados financieros, incluyendo el procedimiento de cierre contable y la revisión específica de los juicios, estimaciones, valoraciones y proyecciones relevantes

De acuerdo con el Reglamento del Consejo de Administración es responsabilidad, entre otros, del Comité y Auditoría y Control revisar las cuentas anuales y la información periódica que deba suministrar el Consejo de Administración a los mercados y a sus órganos de supervisión, vigilando en todo momento el cumplimiento de los requerimientos legales y de la correcta aplicación en su elaboración de los principios de contabilidad generalmente aceptados.

Igualmente, el mencionado Reglamento señala que el citado Comité se reunirá trimestralmente a fin de revisar la información financiera periódica que haya de remitirse a las autoridades bursátiles así como la información que el Consejo de Administración ha de aprobar e incluir dentro de su documentación pública anual.

El grupo tiene mecanismos de revisión y autorización a distintos niveles de la información financiera:

• Un primer nivel de revisión realizado por la distintas estructuras organizativas locales
• Un segundo nivel corporativo realizando revisiones analíticas de la información financiera reportada por dichas estructuras
• Un tercer nivel de control del cumplimiento de los procedimientos de control interno de la información financiera.

Con anterioridad a la formulación de las cuentas anuales y a la aprobación de los estados financieros semestrales, la DGF y los Auditores Externos se reúnen, a los efectos de analizar y evaluar la información financiera como paso previo a su remisión al Consejo de Administración.

El Comité de Auditoría y Control remite esta información al Consejo de Administración, que es el responsable último de su aprobación para su posterior publicación al mercado.

El Grupo tiene documentados a través de procedimientos aquellos procesos que considera con riesgo de impacto material en la elaboración de la información financiera.

Estos procedimientos describen los controles que permiten responder adecuadamente a los riesgos asociados al logro de los objetivos relacionados con la fiabilidad e integridad de la información financiera de tal forma que permiten prevenir, detectar, mitigar y corregir el riesgo de que se produzcan errores con la antelación necesaria.

Adicionalmente, y a efectos esquemáticos, dichos procesos se representan a través de flujogramas y matrices de riesgos y controles, en las cuales se identifican las actividades de control relevantes. Cada actividad de control cuenta con su respectivo responsable y la periodicidad sistemática de realización. La divulgación de los procedimientos, flujogramas y matrices entre el personal involucrado en la elaboración de la información financiera, se realiza a través del portal específico de la DGF en la intranet del Grupo, permaneciendo disponible para su consulta por cualquier miembro del equipo financiero, constituyendo una herramienta más de trabajo.

Cada uno de los procedimientos tiene asignado un responsable cuya función es revisarlos y actualizarlos. Dichas actualizaciones son oportunamente revisadas y autorizadas por la dirección del área antes de su publicación en el portal financiero.

En el ejercicio 2013 el grupo ha iniciado la implantación y adaptación del módulo de SAP GRC Process Control que:

• Facilita la gestión del modelo de control en un único entorno centralizado
• Da soporte al proceso de evaluación en base a un proceso de aprobación jerárquico soportado por Workflows.
• Monitoriza el proceso de testeo en las distintas estructuras organizativas locales
• Agiliza la labor de los usuarios mediante notificaciones de las tareas a realizar

Entre los distintos procedimientos conviene destacar por su relevancia, atendiendo a la naturaleza del negocio, los siguientes:

• Cuentas a pagar.
• Tesorería.
• Ventas en tienda.
• Gestión de existencias.
• Inmovilizado material.
• Impuestos
• Cierre contable

El Grupo cuenta con procedimientos que regulan el cierre contable de filiales, y la preparación de los estados financieros consolidados. Este último procedimiento contiene un apartado relativo a “Provisiones, Juicios y Estimaciones” en donde se definen las principales provisiones, juicios y estimaciones a nivel consolidado, así como su análisis y aprobación por parte de la Dirección General de Finanzas (DGF).

En este ejercicio, fruto del inicio de la implantación de la nueva herramienta SAP GRC, se han actualizado y mejorado todos los procedimientos relativos a la elaboración de la información financiera.

La DGF cuenta con otra herramienta de control que complementa los distintos procedimientos documentados. Dicha herramienta consiste en una serie de indicadores (KPIS, “key performance indicators”) cuyo objetivo es medir la calidad de la información financiera reportada por los responsables financieros de las sociedades que componen el Grupo. Dicha herramienta está a disposición de las distintas unidades generadoras de información. Miembros de los distintos departamentos financieros de las sociedades realizan periódicamente un análisis de los KPIS proponiendo, en su caso, medidas correctoras así como planes de acción específicos y su seguimiento.

3.2. Políticas y procedimientos de control interno sobre los sistemas de información (entre otras, sobre seguridad de acceso, control de cambios, operación de los mismos, continuidad operativa y segregación de funciones) que soporten los procesos relevantes de la entidad en relación a la elaboración y publicación de la información financiera

El marco de control interno de los sistemas de información del Grupo se ha definido a partir de un catálogo de procesos de las Tecnologías de la Información (TI, en adelante) que abarca toda la actividad asociada a cada uno de los sistemas, así como un análisis de riesgos básico asociado a estos procesos. De esta forma, el marco de control interno cubre la totalidad de los riesgos asociados a cada uno de estos procesos.

El Grupo dispone de un área de Seguridad Informática, dependiente de la Dirección General de Sistemas, cuyo objetivo es velar por la seguridad en todos los procesos informáticos mediante:

• el establecimiento y difusión de las normas que garantizan la seguridad en aplicación de la Política de Seguridad de la Información (PSI).
• la realización de revisiones orientadas a comprobar el cumplimiento de dicha normativa.

La PSI es el marco de referencia que establece las directrices a seguir por el personal de todo el Grupo INDITEX, para garantizar la seguridad informática en todos los procesos de negocio y que, por tanto, también dan soporte al SCIIF. Las directrices que se incluyen en la Política de Seguridad se agrupan en los siguientes ámbitos:

• Clasificación y control de activos
• Seguridad frente a acciones humanas
• Seguridad física y del entorno
• Control de Accesos
• Gestión de Sistemas, Comunicaciones y Operaciones
• Desarrollo y Mantenimiento de Sistemas
• Gestión de Continuidad de Negocio
• Gestión de Incidentes de Seguridad de la Información
• Cumplimiento Normativo y Legal.

Adicionalmente, en el diseño e implementación de aplicaciones, el Grupo ha definido un marco metodológico que establece distintos requerimientos orientados a asegurar que la solución desarrollada cumpla las funciones solicitadas por el usuario, y para que el nivel de calidad cumpla los estándares de seguridad establecidos.

Por último, el Grupo dispone de los mecanismos y procedimientos de contingencia, tanto técnicos como operativos, que están definidos para garantizar la recuperación de los sistemas de información en caso de falta de disponibilidad.

3.3. Políticas y procedimientos de control interno destinados a supervisar la gestión de las actividades subcontratadas a terceros, así como de aquellos aspectos de evaluación, cálculo o valoración encomendados a expertos independientes, que puedan afectar de modo material a los estados financieros

En general, el Grupo INDITEX no externaliza procesos con impacto relevante en la información financiera. La política general es no externalizar ninguna actividad que pueda afectar de modo material a los estados financieros.

En el ejercicio 2013 se han identificado las siguientes actividades subcontratadas con repercusión en los estados financieros si bien no tienen efecto significativo sobre los estados financieros:

• Valoraciones de intangibles y sociedades.
• Cálculos de estudios actuariales.
• Servicios relacionados con RRHH
• Valoración de derivados

La contratación de dichos servicios se realiza por los responsables de las áreas correspondientes, asegurando la competencia y capacitación técnica y legal de los profesionales contratados