General Law on Internal ControlLey General de Control Interno

This Law establishes the minimum criteria that must be observed by the Contraloría General de la República and the entities or bodies subject to its oversight, in the establishment, functioning, maintenance, improvement, and evaluation of their internal control systems.

• a)Active administration: from a functional point of view, it is the decision-making, executive, resolutory, directive, or operative function of the Administration. From an organic point of view, it is the set of bodies and entities of the administrative function that decide and execute; they include the chief officer (jerarca), as the last instance.
• b)Establish, maintain, improve, and evaluate the internal control system: terms used to define the responsibility of the chief officer (jerarca) or the subordinate head (titular subordinado) over the internal control system, in terms of instituting it, giving it permanence, and constantly improving it.
• c)Chief officer (jerarca): hierarchical superior of the body or entity; exercises the maximum authority within the unipersonal or collegial body or entity.
• d)Subordinate head (titular subordinado): official of the active administration responsible for a process, with authority to order and make decisions.
• e)Control environment (ambiente de control): set of factors of the organizational environment that must be established and maintained by the chief officer (jerarca), the subordinate heads (titulares subordinados), and other officials, to allow the development of a positive and supportive attitude toward internal control and for a scrupulous administration.
• f)Risk assessment (valoración del riesgo): identification and analysis of the risks faced by the institution, from both internal and external sources relevant to the achievement of objectives; must be carried out by the chief officer (jerarca) and the subordinate heads (titulares subordinados), in order to determine how such risks should be managed.
• g)Control activities (actividades de control): policies and procedures that provide assurance that the provisions issued by the Contraloría General de la República, by the chief officers (jerarcas), and by the subordinate heads (titulares subordinados) for the achievement of the objectives of the internal control system are being carried out.

The Contraloría General de la República shall issue the technical regulations on internal control necessary for the effective functioning of the internal control system of the entities and bodies subject to this Law. Said regulations shall be of mandatory compliance and their non-compliance shall be grounds for administrative liability.

The internal control regulations that other institutions issue in the exercise of legally attributed control or oversight powers shall not contradict those issued by the Contraloría General de la República and, in case of doubt, those of the oversight body shall prevail.

Private law subjects who, by any title, are custodians or administrators of public funds, must apply in their management the internal control principles and technical standards that the Contraloría General de la República issues to that effect in accordance with article three.

Apart from other sanctions that the legal system may establish, private law subjects who custody or administer, by any title, public funds or receive financial benefits from state entities or bodies, may be sanctioned, as provided in article 7 of the Organic Law of the Contraloría General de la República, No. 7428, of September 7, 1994, when they fail to comply with the provisions of the preceding paragraph.

The Contraloría General de la República shall convene, at least once a year, a National Congress on the Management and Oversight of Public Finances, in virtual or in-person modality, with the participation of the internal auditors and sub-auditors of the public sector, those in charge of internal control, and other officials or specialists deemed pertinent, with the purpose of keeping the oversight and control system and processes updated, strengthening the competencies and skills of audit personnel, promoting improvements in oversight and control processes, reviewing internal control procedures and standards, submitting proposals aimed at improving or streamlining substantive management in the public sector, and discussing any topic of interest related to the purposes of this law, which shall be considered by the Contraloría General de la República and the entities or bodies subject to its oversight for the purposes of their powers, responsibilities, and obligations established in articles 3, 7, and 10 of this law.

The purpose of the congress shall contemplate international reference frameworks for the implementation, management, and control of an adequate internal control system.

Participation in the congress is mandatory, and it is the responsibility of the Contraloría General de la República to incorporate a report on the results obtained from the congress within its annual accountability report.

The Ministerio de Hacienda shall transfer the resources that the supreme oversight body requests to carry out this activity, seeking a balance between what the oversight body requests and what the national fiscal situation makes possible, in accordance with current fiscal regulations.

(Thus amended by article 1 of the Law to strengthen the nature of internal audits and their relationship with the active administration, No. 10881 of March 16, 2026)

The Contraloría General de la República, the Administration, the internal audits of public institutions and companies, and other bodies processing administrative complaints shall maintain confidentiality regarding the identity of the person who, under a reasonable belief that the information provided demonstrates the possible commission of an act of corruption, files complaints for acts of corruption before their offices. Confidentiality shall apply to any information from which the identity of the complainant can be directly or indirectly deduced. The confidential nature of this information shall be maintained after the processing of the complaint is concluded, even when the complainant themselves discloses their identity or when it is known that it is being known in other instances.

The information, documentation, and other evidence from investigations carried out by internal audits, the administration, and the Contraloría General, the results of which may originate the opening of an administrative procedure, shall be confidential, even for the complainant and the respondent, during the formulation of the respective report. Once the corresponding report is notified and until the final resolution of the administrative procedure, the information contained in the file shall be classified as confidential information, except for the involved parties, who shall have free access to all documents and evidence contained in the administrative file.

In all cases, the Legislative Assembly, in the exercise of the powers contained in subparagraph 23) of Article 121 of the Political Constitution, may access the reports, documentation, and evidence held by internal audits, the administration, or the Contraloría General de la República.

(Thus amended by article 29 of the Law for the protection of complainants and witnesses of acts of corruption against labor reprisals, No. 10437 of January 29, 2024)

The Internal Control System

The entities and bodies subject to this Law shall have internal control systems, which must be applicable, complete, reasonable, integrated, and consistent with their institutional powers and attributions. Furthermore, they must provide assurance in the fulfillment of those attributions and powers; all in accordance with the first paragraph of article 3 of this Law.

For the purposes of this Law, an internal control system shall be understood as the series of actions executed by the active administration, designed to provide assurance in the achievement of the following objectives:

• a)Protect and conserve public assets against any loss, waste, misuse, irregularity, or illegal act.
• b)Require reliability and timeliness of information.
• c)Guarantee efficiency and effectiveness of operations.
• d)Comply with the legal and technical system.

The active administration and the internal audit of the entities and bodies subject to this Law shall be the organic components of the established internal control system and shall integrate the Superior Public Finance Oversight System referred to in the Organic Law of the Contraloría General de la República.

It shall be the responsibility of the chief officer (jerarca) and the subordinate head (titular subordinado) to establish, maintain, improve, and evaluate the institutional internal control system. Likewise, it shall be the responsibility of the active administration to take the necessary actions to guarantee its effective functioning.

The chief officer (jerarca) and the subordinate heads (titulares subordinados) shall have the responsibility to analyze the implications for the internal control system when a deconcentration of powers is carried out, or when contracting support services with third parties; likewise, the responsibility to take the corresponding measures so that controls are extended, modified, and changed, when necessary.

The Active Administration

Duties of the chief officer (jerarca) and the subordinate heads (titulares subordinados) (Corrected by means of Errata Fe and published in La Gaceta No. 102 of May 29, 2003. Previously the wording of this heading indicated:

"1.SECTION I 1.. Duties of the chief officer and the subordinate heads")

Regarding internal control, the chief officer (jerarca) and the subordinate heads (titulares subordinados) shall be responsible for fulfilling, among others, the following duties:

• a)Ensure the adequate development of the activity of the entity or body under their charge.
• b)Immediately take corrective measures, upon any evidence of deviations or irregularities.
• c)Analyze and immediately implement the observations, recommendations, and provisions made by the internal audit, the Contraloría General de la República, the external audit, and other corresponding control and oversight institutions.
• d)Ensure that the internal control systems meet at least the characteristics defined in article 7 of this Law.
• e)Present an end-of-term report and carry out the formal handover of the entity or body to their successor, in accordance with the directives issued by the Contraloría General de la República and by the competent entities and bodies of the active administration.

Regarding the control environment (ambiente de control), the duties of the chief officer (jerarca) and the subordinate heads (titulares subordinados) shall include, among others, the following:

• a)Maintain and demonstrate integrity and ethical values in the exercise of their duties and obligations, as well as contribute with their leadership and actions to promote them in the rest of the organization, for effective compliance by the other officials.
• b)Develop and maintain a management philosophy and style that allows managing a determined risk level, oriented toward achieving results and measuring performance, and that promotes an open attitude toward mechanisms and processes that improve the internal control system.
• c)Evaluate the functioning of the institution's organizational structure and take pertinent measures to guarantee the fulfillment of institutional purposes; all in accordance with the applicable legal and technical system.
• d)Clearly establish hierarchical relationships, assign the authority and responsibility of officials, and provide adequate communication channels so that processes are carried out; all in accordance with the applicable legal and technical system.
• e)Establish appropriate human resource management policies and practices, mainly regarding hiring, onboarding, training, evaluation, promotion, and disciplinary actions; all in accordance with the applicable legal and technical system.

In relation to risk assessment (valoración del riesgo), the duties of the chief officer (jerarca) and the subordinate heads (titulares subordinados) shall include, among others, the following:

• a)Identify and analyze the relevant risks associated with the achievement of institutional objectives and goals, defined in both the annual operational plans and the medium- and long-term plans.
• b)Analyze the possible effect of the identified risks, their importance, and the probability of their occurrence, and decide the actions to be taken to manage them.
• c)Adopt the necessary measures for the adequate functioning of the risk assessment (valoración del riesgo) system and to place themselves at least at an acceptable organizational risk level.
• d)Establish the operative mechanisms that minimize the risk in the actions to be executed.

Regarding control activities (actividades de control), the duties of the chief officer (jerarca) and the subordinate heads (titulares subordinados) shall include, among others, the following:

• a)Document, keep updated, and internally disseminate the control policies, standards, and procedures that guarantee the compliance of the institutional internal control system and the prevention of any aspect that leads to deviating from the objectives and goals set by the institution in the performance of its functions.
• b)Document, keep updated, and internally disseminate both the policies and the procedures that clearly define, among other matters, the following:

i. The authority and responsibility of the officials in charge of authorizing and approving the institution's operations.

ii. The protection and conservation of all institutional assets.

iii. The design and use of documents and records that aid in the adequate annotation of transactions and significant events carried out in the institution. Documents and records must be administered and maintained appropriately.

iv. The periodic reconciliation of records, to verify their accuracy and determine and correct errors or omissions that may have been committed.

v. The general controls common to all computerized information systems and the specific application controls for data processing with application software.

There must be information systems that allow the active administration to have institutional document management, understood as the set of activities carried out with the purpose of controlling, storing, and subsequently recovering adequately the information produced or received in the organization, in the development of its activities, in order to prevent any deviation in the objectives set. Said document management must be closely related to information management, which must contemplate corporate databases and other computer applications, which constitute important sources of recorded information.

Regarding information and communication, the duties of the chief officer (jerarca) and the subordinate heads (titulares subordinados), as those responsible for the proper functioning of the information system, shall include, among others, the following:

• a)Have processes that allow identifying and recording reliable, relevant, pertinent, and timely information; likewise, ensure that the information is communicated to the active administration that needs it, in the form and within the timeframe required for the adequate fulfillment of their responsibilities, including those of internal control.
• b)Harmonize information systems with institutional objectives and verify that they are adequate for the efficient care and handling of public resources.
• c)Establish policies, procedures, and resources to have an institutional archive, in accordance with what is indicated in the legal and technical system.

Monitoring of the internal control system is understood as the activities carried out to assess the quality of the functioning of the internal control system, over time; likewise, to ensure that audit findings and the results of other reviews are addressed promptly.

Regarding the monitoring of the internal control system, the duties of the chief officer (jerarca) and the subordinate heads (titulares subordinados) shall be the following:

• a)That the responsible officials continuously carry out control and prevention actions in the course of normal operations integrated with such actions.
• b)That the active administration carries out, at least once a year, self-assessments that lead to the improvement of the internal control system for which it is responsible. Likewise, that it can detect any deviation that distances the organization from the fulfillment of its objectives.

(Corrected by means of Errata Fe and published in La Gaceta 102 of May 29, 2003. Previously the wording of this subparagraph indicated: "c) That the active administration carries out, at least once a year, self-assessments that lead to the improvement of the internal control system for which it is responsible. Likewise, that it can detect any deviation that distances the organization from the fulfillment of its objectives") c) That the results of the periodic evaluations carried out by the active administration, the internal audit, the Contraloría General de la República, the external audit, and other corresponding control and oversight institutions are implemented, within the ten business days following their notification.

(Corrected by means of Errata Fe and published in La Gaceta 102 of May 29, 2003. Previously the wording of this subparagraph indicated: "d) That the results of the periodic evaluations carried out by the active administration, the internal audit, the Contraloría General de la República, the external audit, and other corresponding control and oversight institutions are implemented, within the ten business days following their notification").

Specific Institutional Risk Assessment System

Every entity or body must have a specific institutional risk assessment (valoración del riesgo) system by areas, sectors, activities, or task that, in accordance with its particularities, allows identifying the level of institutional risk and adopting methods of continuous and systematic use, in order to analyze and manage the level of said risk.

The Contraloría General de la República shall establish the general criteria and directives that will serve as the basis for the establishment and functioning of the system in the selected entities and bodies, criteria and directives that shall be mandatory and shall prevail over those that oppose them, without prejudice to the obligation of the chief officer (jerarca) and subordinate heads (titulares subordinados) referred to in article 14 of this Law.

The chief officer (jerarca) and the respective subordinate heads (titulares subordinados) of the entities and bodies subject to this Law, in which the Contraloría General de la República determines that the Specific Institutional Risk Assessment System must be implemented, shall adopt the necessary measures for the adequate functioning of the System and to place themselves at least at an acceptable institutional risk level.

Internal Audit

General Provisions

All entities and bodies subject to this Law shall have an internal audit, except those in which the Contraloría General de la República determines, by regulation or singular provision, that its existence is not justified, considering criteria such as assigned budget, volume of operations, level of institutional risk, or type of activity. In this case, the Contraloría General shall order the institution to establish the defined control or oversight methods.

The internal audit is the independent, objective, and advisory activity that provides assurance to the entity or body, since it is created to validate and improve its operations. It contributes to the achievement of institutional objectives, through the practice of a systemic and professional approach to evaluate and improve the effectiveness of risk management, control, and governance processes in the entities and bodies subject to this Law. Within an organization, the internal audit provides citizens with reasonable assurance that the actions of the chief officer (jerarca) and the rest of the administration are carried out in accordance with the legal and technical framework and sound practices.

The internal audit shall primarily have the following powers:

• a)Conduct audits or special studies semi-annually, in relation to public funds subject to its institutional competence, including trusts, special funds, and others of a similar nature. Likewise, semi-annually conduct audits or special studies on private funds and activities, in accordance with articles 5 and 6 of the Organic Law of the Contraloría General de la República, insofar as these originate from transfers made by components within its institutional competence.
• b)Verify the compliance, validity, sufficiency, and maturity of the internal control system within its institutional competence, report on it, and propose pertinent corrective measures, through its preventive services.

(The foregoing subparagraph thus amended by article 1 of the Law to strengthen the nature of internal audits and their relationship with the active administration, No. 10881 of March 16, 2026) c) Verify that the active administration takes the internal control measures indicated in this Law, in cases of deconcentration of powers, or the contracting of support services with third parties; likewise, regularly examine the effective operation of critical controls, in those deconcentrated units or in the provision of such services.

• d)Advise, in matters of its competence, the chief officer (jerarca) on whom it depends; in addition, warn the passive bodies it oversees about the possible consequences of certain conducts or decisions, when they become known to it.
• e)Authorize, by means of an opening record, the books of account and minute books that must be kept by the bodies subject to its institutional competence and other books that, in the auditor's opinion, are necessary for the strengthening of the internal control system.
• f)Prepare the work plans in accordance with article 36 of this law and the guidelines established by the Contraloría General de la República. These plans must incorporate the aspects subject to control by the internal audit, determined based on technical and legal criteria, as well as the monitoring and evaluation of recommendations derived from external audits and specialized external studies that the Administration has contracted, in accordance with sound practices and current regulations. The internal audit must verify the effective implementation of said recommendations and incorporate its results in its follow-up reports. The work plan must be available for public consultation, in the form and terms that the Contraloría General de la República determines to that effect.

(The foregoing subparagraph thus amended by article 1 of the Law to strengthen the nature of internal audits and their relationship with the active administration, No. 10881 of March 16, 2026) g) Prepare an annual report on the execution of the work plan and the status of the recommendations of the internal audit, the Contraloría General de la República, and the offices of public accountants; in the latter two cases, when they are known to it, without prejudice to the preparation of reports and their presentation to the chief officer (jerarca) when circumstances warrant it.

• h)Keep the organizational and operational regulation of the internal audit duly updated.
• i)The other powers contemplated by the applicable legal, regulatory, and technical regulations, with the limitations established in article 34 of this Law.

The internal audit shall be organized and function as ordered by the internal auditor, in accordance with the provisions, standards, policies, and directives issued by the Contraloría General de la República, which shall be of mandatory compliance.

Each internal audit shall have an organizational and operational regulation, in accordance with the regulations governing its activity. Said regulation must be approved by the Contraloría General de la República, published in the official gazette, and disseminated within the institutional sphere.

The internal auditor and internal sub-auditor of the entities and bodies subject to this Law shall depend organically on the highest chief officer (jerarca), who shall appoint them and establish the administrative-type regulations that will be applicable to said officials. The other officials of the internal audit shall be subject to the administrative provisions applicable to the rest of the personnel; however, the appointment, transfer, suspension, removal, granting of licenses, and other personnel movements must have the authorization of the internal auditor; all in accordance with the legal framework governing the entity or body.

The mentioned administrative-type regulations shall not negatively affect the internal audit activity, the functional and judgmental independence of the internal auditor and internal sub-auditor and their personnel; in case of doubt, the Contraloría General shall provide the corresponding instruction.

The internal auditor, the internal sub-auditor, and the officials of the Internal Audit shall exercise their attributions with total functional and judgmental independence from the chief officer (jerarca), from the other active administration bodies, and from the officials of the entity or body subject to this law; such independence does not exempt them from complying with the conduct and order rules of the entity and body for which they work, provided that such rules do not negatively affect the activity of the Internal Audit.

Without prejudice to the functional and judgmental independence of the Internal Audit, it is the responsibility of the chief officer (jerarca) of the entity or body to periodically evaluate the performance of the auditor, the sub-auditor, and the officials of the Audit, regarding the fulfillment of their duties and functions.

(Thus amended by article 1 of the Law to strengthen the nature of internal audits and their relationship with the active administration, No. 10881 of March 16, 2026)

When the internal audit personnel, in the fulfillment of their functions, become involved in a legal conflict or a lawsuit, the institution shall provide all its support, both legal and technical, and shall cover the costs to address that process until its final resolution.

The chief officer (jerarca) of the entities and bodies subject to this Law must allocate the human, material, technological, transportation, and other necessary and sufficient resources so that the internal audit can fulfill its management.

For budgetary purposes, the internal audit shall be given a programmatic category; for the allocation and disposition of its resources, the opinion of the internal auditor and the instructions issued in this regard by the Contraloría General de la República shall be taken into account.

The internal audit shall execute its budget, as determined by its needs to fulfill its work plan.

Vacancies that, for any reason, occur in the internal audit positions must be filled within a maximum period of three months, counted from the moment of the vacancy. The period may be extended for another three months, for duly accredited reasons recorded in the file created for that purpose.

The reduction of positions due to labor mobility or other movements within the internal audit unit must be previously authorized by the internal auditor.

The requirements for the creation and filling of internal audit positions defined by the Presupuestary Authority or other competent institutions must, at all times, consider their real needs and may not be applied to the detriment of the operation of the institution's internal control system.

The Internal Auditor and Sub-auditor

The entities and bodies subject to this Law shall define, in their respective job and class manuals, the description of functions and corresponding requirements for each of the positions, in accordance with the guidelines issued on the matter by the Contraloría General de la República.

The working hours of the auditor, the internal sub-auditor, and the officials of the Audit Unit shall be full-time and must conform to the working schedule of the entity or body for which they work. In highly qualified cases, the chief executive (jerarca) may request a reduction of the working hours from the Contraloría General de la República, which may not be less than half-time.

Municipalities whose ordinary budget is equal to or less than two hundred million colones (¢200,000,000.00) may contract the internal auditor and internal sub-auditor on a half-time basis only, without the authorization of the Contraloría General de la República.

To reduce the working hours of the internal auditor or internal sub-auditor position, the chief executive (jerarca) shall order a technical study, which must be submitted to the Contraloría General de la República, which will definitively resolve what is appropriate.

Any modification to the working schedule or the granting of leave must be sufficiently motivated and justified; furthermore, it must be reported to the chief executive (jerarca) of the institution for approval.

(Thus amended by Article 1 of the Law to strengthen the nature of internal audits and their relationship with active administration, No. 10881 of March 16, 2026)

The chief executive (jerarca) shall appoint the internal auditor and the internal sub-auditor for an indefinite term. Such appointments shall be made by public competitive process promoted by each entity and body of the Public Administration; the selection of suitable candidates to occupy the positions shall be ensured; all of which must be recorded in the respective file. The file and the shortlist of three candidates selected must be communicated, prior to the appointments, to the Contraloría General de la República, which shall analyze the process and approve or veto it. In the latter case, it shall issue instructions to the respective entity or body and indicate the objected elements for correction; the administration must repeat the process starting from the stage where the respective objection originated.

Interim appointments shall be authorized, prior to and at the request of the administration, by the Contraloría General de la República; in no case may they be made for more than twelve months.

The appointments of the auditor and the sub-auditor must be communicated by the respective chief executive (jerarca) to the Contraloría General de la República, no later than the first business day of the commencement of their duties in the respective positions.

The conclusion of the service relationship for just cause, of the internal auditor and internal sub-auditor, must be in accordance with Article 15 of the Organic Law of the Contraloría General de la República.

Duties, Powers, and Prohibitions of Audit Officials

The internal auditor, the internal sub-auditor, and the other officials of the internal audit unit shall have the following obligations:

• a)Fulfill the competencies assigned by law.
• b)Comply with the applicable legal and technical framework.
• c)Collaborate in the studies that the Contraloría General de la República and other institutions carry out in the exercise of legally attributed control or oversight competencies.
• d)Administer, in an effective, efficient, and economical manner, the resources of the process for which they are responsible.
• e)Not reveal to third parties who are not directly related to the matters addressed in their reports, information about the audits or special audit studies that are being conducted, nor information about matters that determine possible civil, administrative, or potentially criminal liability of officials of the entities and bodies subject to this Law.
• f)Maintain the confidentiality of the case regarding information to which they have access.
• g)Abide by the provisions and recommendations emanating from the Contraloría General de la República. In case of opposition by the internal audit unit regarding such provisions and recommendations, Article 26 of the Organic Law of the Contraloría General de la República shall apply.
• h)Facilitate and deliver the information requested by the Legislative Assembly in the exercise of the powers provided in subsection 23) of Article 121 of the Political Constitution, and collaborate with said information.
• i)Fulfill other duties pertaining to their competence.

The internal auditor, the internal sub-auditor, and the other officials of the internal audit unit shall have the following powers:

• a)Free access, at any time, to all books, archives, securities, bank accounts, and documents of the entities and bodies within their institutional competence, as well as those of private subjects, solely to the extent that they manage or safeguard public funds or assets of the entities and bodies within their institutional competence; they shall also have free access to other sources of information related to their activity. The internal auditor may access, for their purposes, at any time, the electronic transactions recorded in the archives and electronic systems of the transactions carried out by the entities with banks or other institutions, for which the administration must provide the required resources.
• b)Request, from any official and private subject who manages or safeguards public funds of the entities and bodies within their institutional competence, in a reasonable form, conditions, and timeframe, the reports, data, and documents for the full performance of their competence. In the case of private subjects, the request shall pertain to the management or safeguarding of public funds of the entities and bodies within their institutional competence.
• c)Request, from officials of any hierarchical level, the collaboration, advice, and facilities required for the exercise of internal audit.
• d)Any other powers necessary for the performance of their duties, in accordance with the applicable legal and technical framework.

The internal auditor, the internal sub-auditor, and the other officials of the internal audit unit shall have the following prohibitions:

• a)Perform functions and acts of active administration; with the sole exception of the administrative powers expressly granted in Article 24 of this Law.

(Thus amended the preceding subsection by Article 1 of the Law to strengthen the nature of internal audits and their relationship with active administration, No. 10881 of March 16, 2026) b) Form part of a directing body of an administrative proceeding.

• c)Practice liberal professions outside of the position, except in strictly personal matters, those of their spouse, their ascendants, descendants, and collateral relatives by consanguinity and affinity up to the third degree, or, when the working hours are not full-time, unless there is an impediment due to the existence of a direct or indirect interest of the entity or body itself. Teaching is excepted from this prohibition, provided it is outside of working hours.
• d)Participate in political-electoral activities, except for casting a vote in national and municipal elections.
• e)Reveal information about audits or special audit studies that are being conducted and about matters that determine possible civil, administrative, or potentially criminal liability of officials of the entities and bodies subject to this Law.

For the prohibitions contemplated in this Law, they shall be paid sixty-five percent (65%) on the base salary.

(Note from Sinalevi: See the percentages for prohibition indicated in the Public Administration Salary Law No. 2166 of 09/10/1957, as added by Article 3 of Title III of the Law for Strengthening Public Finances, No. 9635 of December 3, 2018) (Note from Sinalevi: According to Opinion C-117-2020 of April 2, 2020, Article 34 of the General Law of Internal Control was tacitly reformed by Article 36 of the Public Administration Salary Law with regard to the percentages of economic compensation for the prohibition established in said norm, such that the current percentages are those established in the aforementioned Article 36. The tacit reform to Article 34 of the General Law of Internal Control is applicable to all recipients of the economic compensation provided in said norm, regardless of the legal nature of the institution for which they provide their services. The foregoing is without prejudice to the provisions of Transitory Provision XXV of the Law for Strengthening Public Finances and Article 10 of the regulation to Title III of that law.)

Internal Audit Reports

Internal audit reports must address various matters within their competence, as well as matters from which possible civil and criminal liabilities may arise for officials, former officials of the institution, and third parties.

Preventive services include advice, criteria, opinions, warnings, and observations; therefore, when findings, conclusions, and recommendations on matters of liability and other subjects arise from a study, the Internal Audit Unit must communicate them, in independent reports for each matter, to the chief executive (jerarca) or to the subordinate heads (titulares subordinados) of the active administration with the competence and authority to order the implementation of the respective recommendations.

Given their preventive and timely nature, these services shall be provided independently of their inclusion in the Annual Work Plan, provided they address matters within their competence and must be substantiated and justified with pertinent technical and legal criteria, preserving the independence and objectivity necessary for the subsequent exercise of the other competencies of the Internal Audit Unit. The reports must indicate the possible civil and criminal liabilities of the administrative conduct that gave rise to them.

The official communication of the results of an audit report shall be governed by the directives issued by the Contraloría General de la República.

(Thus amended by Article 1 of the Law to strengthen the nature of internal audits and their relationship with active administration, No. 10881 of March 16, 2026)

The recommendations included in the reports or special studies of the Internal Audit Unit must specify their relationship to the objectives of the Work Plan, on matters that result in possible liabilities, or to the internal control measures established in the LCGI.

(Thus amended the preceding paragraph by Article 1 of the Law to strengthen the nature of internal audits and their relationship with active administration, No. 10881 of March 16, 2026) When audit reports contain recommendations addressed to subordinate heads (titulares subordinados), the following procedure shall apply:

(Thus amended the preceding paragraph by Article 1 of the Law to strengthen the nature of internal audits and their relationship with active administration, No. 10881 of March 16, 2026) a) The subordinate head (titular subordinado), within a non-extendable period of ten business days counted from the date of receipt of the report, may order the implementation of the recommendations. If they disagree with them, within said period they shall elevate the audit report to the chief executive (jerarca), with a copy to the Internal Audit Unit, explaining in writing the reasons why they object to the recommendations in the report and proposing alternative solutions for the findings detected.

(Thus amended the preceding subsection by Article 1 of the Law to strengthen the nature of internal audits and their relationship with active administration, No. 10881 of March 16, 2026) b) In view of the foregoing, the chief executive (jerarca) must resolve, within a period of twenty business days counted from the date of receipt of the documentation sent by the subordinate head (titular subordinado); in addition, they must order the implementation of the internal audit's recommendations, the alternative solutions proposed by the subordinate head (titular subordinado), or those on their own initiative, duly substantiated. Within the first ten days of that period, the internal auditor may appear, ex officio, before the chief executive (jerarca), to pronounce on the objections or alternative solutions proposed. The solutions that the chief executive (jerarca) orders to implement and that are different from those proposed by the internal audit unit shall be subject, as applicable, to the provisions of the following articles.

• c)The final act shall be made known to the internal audit unit and the corresponding subordinate head (titular subordinado), for the appropriate procedure.

The recommendations included in the reports of the Internal Audit Unit must be linked to the objectives of the Work Plan and to the internal control measures established in the General Law of Internal Control; likewise, they must be accompanied by the possible administrative, civil, and criminal liabilities of the administrative conduct that gave rise to such recommendations.

The criteria, opinions, warnings, or observations issued by the Internal Audit Unit, which contribute to the decision-making of the active administration of which they are a part, are binding and must relate to matters strictly within their competence, without undermining or compromising independence and objectivity in the subsequent development of their other competencies; therefore, the Audit Unit must substantiate and justify these preventive services based on applicable technical and legal norms.

The Audit report addressed to the chief executive (jerarca) shall be binding and shall suggest to the corresponding subordinate head (titular subordinado) the application of the recommendations, within a non-extendable period of thirty business days, counted from the date of receipt of the report. If there is any reasonable doubt for making a decision, the administration must submit the matter for consideration by relevant internal or external instances that provide guidance on the matter. If it finally disagrees with the recommendations suggested in the reports or in the preventive services of the Internal Audit Unit, it must order the alternative solutions that it motivatedly provides within an additional period of eight business days. All of this must be duly communicated to the Internal Audit Unit and the corresponding subordinate head (titular subordinado).

(Thus amended by Article 1 of the Law to strengthen the nature of internal audits and their relationship with active administration, No. 10881 of March 16, 2026)

Once the resolution of the chief executive (jerarca) ordering solutions different from those recommended by the internal audit unit becomes final, the latter shall have a period of fifteen business days, counted from its notification, to explain in writing the reasons for its disagreement with the decision and to indicate that the matter in conflict must be referred to the Contraloría General de la República, within the following eight business days, unless the chief executive (jerarca) acquiesces to the reasons for disagreement indicated.

The Contraloría General de la República shall resolve the conflict in the final instance, at the request of the chief executive (jerarca), the internal audit unit, or both, within a period of thirty business days, once the file to be created for that purpose is complete. Unjustifiably failing to execute the final decision of the controlling body shall give rise to the application of the sanctions provided in Chapter V of the Organic Law of the Contraloría General de la República, No. 7428, of September 7, 1994.

Responsibilities and Sanctions (Corrected by means of Errata Sheet and published in La Gaceta No. 102 of May 29, 2003. Previously the wording of this heading indicated:

"1.CHAPTER V 1.. Responsibility and sanctions")

The chief executive (jerarca) and the subordinate heads (titulares subordinados) shall incur administrative and civil liability, when applicable, if they unjustifiably fail to fulfill the duties assigned in this Law, without prejudice to other grounds provided in the regime applicable to the respective service relationship.

The chief executive (jerarca), the subordinate heads (titulares subordinados), and other public officials shall incur administrative liability when they weaken the internal control system through their actions or omit the necessary actions to establish, maintain, improve, and evaluate it, in accordance with the applicable technical regulations.

Likewise, administrative liability shall lie against the chief executive (jerarca) who unjustifiably fails to allocate resources to the internal audit unit under the terms of Article 27 of this Law.

Similarly, administrative liability shall lie against public officials who unjustifiably fail to fulfill the duties and functions in matters of internal control assigned to them by the chief executive (jerarca) or the subordinate head (titular subordinado), including the actions to implement the recommendations issued by the internal audit unit, without prejudice to the liabilities that may be imputed to them civilly and criminally.

The chief executive (jerarca), the subordinate heads (titulares subordinados), and other public officials shall also incur administrative and civil liability, when applicable, for obstructing or delaying the fulfillment of the powers of the auditor, the sub-auditor, and the other officials of the internal audit unit, established in this Law.

In the case of acts or omissions of collegiate bodies, the responsibility shall be attributed to all its members, unless the negative vote is expressly recorded.

The internal auditor, the internal sub-auditor, and the other officials of the internal audit unit shall incur administrative liability when, due to intent or gross negligence, they fail to fulfill their duties and functions, infringe the applicable technical regulations, or violate the regime of prohibitions referred to in this Law; all without prejudice to the liabilities that may be imputed to them civilly and criminally.

According to the severity, the faults indicated in this Law shall be sanctioned as follows:

• a)Written reprimand (amonestación).
• b)Written reprimand (amonestación) communicated to the respective professional association, when applicable.
• c)Suspension, without pay, from eight to fifteen business days. In the case of per diem allowances (dietas) and other types of stipends, the suspension shall be understood as the number of sessions and the official shall not receive any sum for those concepts during that time.
• d)Separation from the position without employer liability.

The sanctions provided in this Law shall be imposed by the body that holds the disciplinary power in the entities and bodies subject to this Law, in accordance with the applicable regulations.

In the event that the infractions provided in this Law are attributed to deputies, municipal council members (regidores) and mayors, magistrates of the Judicial Branch and the Supreme Electoral Tribunal, the Comptroller General and Deputy Comptroller General of the Republic, the Defender of the Inhabitants of the Republic and the Deputy Defender, the General Regulator and the Attorney General of the Republic, as well as directors of autonomous institutions, to the extent applicable, it shall be reported, as the case may be, to the Supreme Electoral Tribunal, the Supreme Court of Justice, the Government Council, and the Legislative Assembly, so that, in accordance with the law, the corresponding sanctions may be imposed.

The administrative liability of the public official for the infractions provided in this Law shall prescribe in accordance with Article 71 of the Organic Law of the Contraloría General de la República, No. 7428, of September 7, 1994.

It shall be considered a serious fault of the official competent to initiate the sanctioning procedure not to initiate it in a timely manner or to allow the liability of the offender to prescribe, without justified cause.

Final Provisions

The Executive Branch shall regulate this Law within a maximum period of three months from its publication. The draft regulation shall be sent in consultation to the Contraloría General de la República.

The following legislation is modified:

• a)Reform Article 26, the first paragraph of Article 31, and Article 71 of the Organic Law of the Contraloría General de la República, No. 7428, of September 7, 1994. The texts shall read as follows:

"Article 26.—Power over internal audit units. The Contraloría General de la República shall oversee that the internal audit unit of the entities and bodies subject to its institutional competence adequately fulfills the functions assigned to it by the legal framework that regulates it; it shall coordinate at least one annual activity to strengthen its management. The result of such oversight must be informed directly to the chief executive (jerarca) of the institution and the internal auditor, who shall be obligated to take the necessary measures for their compliance or, failing that, to state their opposition, within a maximum period of fifteen business days.

Once the opposition is filed, the internal audit unit shall have a maximum period of thirty business days, counted from the receipt of the Contraloría's report, to duly substantiate its opposition.

Upon receipt of the substantiation of the opposition, the Contraloría General de la República shall have a maximum period of thirty business days to resolve the conflict raised and must immediately notify the dissenting entity or body of the decision on this matter." "Article 31.—Power to report and advise. The Contraloría General de la República shall provide, to the parliamentary bodies and to each of the deputies, the reports they request; it shall do so ex officio when its participation has been requested in accordance with the second paragraph of Article 22 of this Law. Owing to its nature as an auxiliary body in the control and oversight of the Public Treasury, the Contraloría General de la República shall send the Legislative Plenary a copy of all remaining reports it issues in the exercise of said powers.

[...]" "Article 71.—Statute of limitations for disciplinary liability. The administrative liability of the public official for the infractions provided in this Law and in the superior control and oversight framework shall prescribe in accordance with the following rules:

• a)In cases where the irregular act is notorious, liability shall prescribe in five years, counted from the occurrence of the act.
• b)In cases where the irregular act is not notorious – understood as that act requiring an investigation or an audit study to report its possible irregularity – liability shall prescribe in five years, counted from the date on which the report on the respective investigation or audit is made known to the chief executive (jerarca) or the official competent to initiate the respective procedure.

The statute of limitations shall be interrupted, with continuing effects, by the notification to the alleged responsible party of the act ordering the initiation of the administrative procedure.

When the author of the fault is the chief executive (jerarca), the period shall begin to run from the date on which their service relationship with the respective entity, company, or body ends.

It shall be considered a serious fault of the official competent to initiate the sanctioning procedure not to initiate it in a timely manner or to allow the liability of the offender to prescribe, without justified cause." b) Reform Article 18 of the Law on Illicit Enrichment of Public Servants, No. 6872, of June 17, 1983. The text shall read as follows:

"Article 18.—The head of the human resources unit of each entity or, failing that, the person designated by the chief executive (jerarca), must inform the Contraloría General de la República, within eight days following each appointment, of the name and qualifications of the servants occupying positions for which the sworn declaration of assets is required, indicating the date on which these officials began their functions.

Within the same period cited in the preceding paragraph, each entity must report the date on which, for any circumstance, the servants obligated to declare conclude their service relationship. Disobedience of this obligation shall be considered a serious fault, for all legal purposes." c) Reform Article 4 of the Organic Law of the Attorney General's Office of the Republic, No. 6815, of September 27, 1982. The text shall read as follows:

"Article 4.—Consultations. The bodies of the Public Administration, through the chief executives (jerarcas) of the different administrative levels, may consult the technical-legal opinion of the Attorney General's Office; in each case, they must include the opinion of the respective legal advisory unit, except in the case of internal auditors, who may submit the consultation directly." d) Add subsection 1) to Article 5 of the Civil Service Statute, Law No. 1581, of May 30, 1953. The text shall read as follows:

"Article 5.—The following officials and employees are also exempted from this Statute:

[...]

• l)The internal auditors and sub-auditors of the ministries and attached bodies."

Articles 59, 60, 61, 63, 64, 65, and 66 of the Organic Law of the Contraloría General de la República, No. 7428, of September 7, 1994, are repealed.

Transitory Provision I.-The entities and bodies subject to this Law whose internal auditor and internal sub-auditor are appointed with working hours of less than half-time on the date of its publication shall have a maximum period of twelve months to comply with the provisions herein.

Transitory Provision II.-Public institutions whose constitutive laws provide for an internal auditor subject to a legal term of appointment must, once this term expires, select an internal auditor for an indefinite term by means of an internal or external competitive process.

This Law shall enter into force upon its publication.

Transmit to the Executive Branch Legislative Assembly.— San José, on the eighteenth day of July, two thousand two.

Presidency of the Republic.—San José, on the thirty-first day of July, two thousand two.

Go to beginning of document

Esta Ley establece los criterios mínimos que deberán observar la Contraloría General de la República y los entes u órganos sujetos a su fiscalización, en el establecimiento, funcionamiento, mantenimiento, perfeccionamiento y evaluación de sus sistemas de control interno.

• a)Administración activa: desde el punto de vista funcional, es la función decisoria, ejecutiva, resolutoria, directiva u operativa de la Administración. Desde el punto de vista orgánico es el conjunto de órganos y entes de la función administrativa, que deciden y ejecutan; incluyen al jerarca, como última instancia.
• b)Establecer, mantener, perfeccionar y evaluar el sistema de control interno: términos utilizados para delimitar la responsabilidad del jerarca o la del titular subordinado sobre el sistema de control interno, en cuanto a instituirlo, darle permanencia y mejorarlo constantemente.
• c)Jerarca: superior jerárquico del órgano o del ente; ejerce la máxima autoridad dentro del órgano o ente, unipersonal o colegiado.
• d)Titular subordinado: funcionario de la administración activa responsable de un proceso, con autoridad para ordenar y tomar decisiones.
• e)Ambiente de control: conjunto de factores del ambiente organizacional que deben establecer y mantener el jerarca, los titulares subordinados y demás funcionarios, para permitir el desarrollo de una actitud positiva y de apoyo para el control interno y para una administración escrupulosa.
• f)Valoración del riesgo: identificación y análisis de los riesgos que enfrenta la institución, tanto de fuentes internas como externas relevantes para la consecución de los objetivos; deben ser realizados por el jerarca y los titulares subordinados, con el fin de determinar cómo se deben administrar dichos riesgos.
• g)Actividades de control: políticas y procedimientos que permiten obtener la seguridad de que se llevan a cabo las disposiciones emitidas por la Contraloría General de la República, por los jerarcas y los titulares subordinados para la consecución de los objetivos del sistema de control interno.

La Contraloría General de la República dictará la normativa técnica de control interno, necesaria para el funcionamiento efectivo del sistema de control interno de los entes y de los órganos sujetos a esta Ley. Dicha normativa será de acatamiento obligatorio y su incumplimiento será causal de responsabilidad administrativa.

La normativa sobre control interno que otras instituciones emitan en el ejercicio de competencias de control o fiscalización legalmente atribuidas, no deberá contraponerse a la dictada por la Contraloría General de la República y, en caso de duda, prevalecerá la del órgano contralor.

Los sujetos de derecho privado que, por cualquier título, sean custodios o administradores de fondos públicos, deberán aplicar en su gestión los principios y las normas técnicas de control interno que al efecto emita la Contraloría General de la República de conformidad con el artículo tercero.

Aparte de las otras sanciones que el ordenamiento jurídico pueda establecer, los sujetos de derecho privado que custodien o administren, por cualquier título, fondos públicos o reciban beneficios patrimoniales de entes u órganos estatales, podrán ser sancionados, según lo dispuesto en el artículo 7 de la Ley Orgánica de la Contraloría General de la República, Nº 7428, de 7 de setiembre de 1994, cuando incumplan lo estipulado en el párrafo anterior.

La Contraloría General de la República convocará, al menos una vez al año, a un Congreso Nacional de Gestión y Fiscalización de la Hacienda Pública, en la modalidad virtual o presencial, con la participación de los auditores y subauditores internos del sector público, de los encargados del control interno y de los demás funcionarios o especialistas que se estime pertinente, con el objeto de mantener actualizados el sistema y los procesos de fiscalización y de control, fortalecer las competencias y habilidades del personal de las auditorías, propiciar mejoras en los procesos de fiscalización y control, revisar procedimientos y normas de control interno, presentar propuestas que tiendan a mejorar o agilizar la gestión sustantiva en el sector público y discutir cualquier tema de interés relativo a los fines de esta ley, lo cual será considerado por la Contraloría General de la República y los entes u órganos sujetos a su fiscalización a efectos de sus competencias, responsabilidades y obligaciones establecidas en los artículos 3, 7 y 10 de esta ley.

El objeto del congreso deberá contemplar marcos de referencia internacional para la implementación, gestión y control de un adecuado sistema de control interno.

La participación al congreso es de carácter obligatorio y corresponde a la Contraloría General de la República incorporar un informe de los resultados obtenidos del congreso, dentro de su informe de rendición de cuentas anual.

El Ministerio de Hacienda transferirá los recursos que el órgano de fiscalización superior le solicite para realizar esta actividad, procurando un balance entre lo que el órgano fiscalizador solicite y la situación fiscal nacional posibilite, de acuerdo con la normativa fiscal vigente.

(Así reformado por el artículo 1° de la Ley para fortalecer la naturaleza de las auditorías internas y su relación con la administración activa, N° 10881 del 16 de marzo de 2026)

La Contraloría General de la República, la Administración, las auditorías internas de las instituciones y empresas públicas y las demás instancias tramitadoras de denuncia administrativa guardarán confidencialidad respecto de la identidad de la persona que, bajo la creencia razonable de que la información proporcionada demuestra la posible comisión del acto de corrupción, presente ante sus oficinas denuncias por actos de corrupción. La confidencialidad aplicará a cualquier información de la que se pueda deducir directa o indirectamente la identidad del denunciante. El carácter confidencial de esta información se mantendrá luego de concluida la tramitación de la denuncia, incluso cuando el propio denunciante divulgue su identidad o cuando se conozca que está siendo conocida en otras instancias.

La información, documentación y otras evidencias de las investigaciones que efectúan las auditorías internas, la administración y la Contraloría General, cuyos resultados puedan originar la apertura de un procedimiento administrativo, serán confidenciales, incluso para el denunciante y denunciado, durante la formulación del informe respectivo. Una vez notificado el informe correspondiente y hasta la resolución final del procedimiento administrativo, la información contenida en el expediente será calificada como información confidencial, excepto para las partes involucradas, las cuales tendrán libre acceso a todos los documentos y las pruebas que obren en el expediente administrativo.

Para todos los casos, la Asamblea Legislativa, en el ejercicio de las facultades contenidas en el inciso 23) del artículo 121 de la Constitución Política, podrá acceder a los informes, la documentación y las pruebas que obren en poder de las auditorías internas, la administración o la Contraloría General de la República.

(Así reformado por el artículo 29 de la Ley de protección de las personas denunciantes y testigos de actos de corrupción contra represalias laborales, N° 10437 del 29 de enero de 2024)

El sistema de control interno

Los entes y órganos sujetos a esta Ley dispondrán de sistemas de control interno, los cuales deberán ser aplicables, completos, razonables, integrados y congruentes con sus competencias y atribuciones institucionales. Además, deberán proporcionar seguridad en el cumplimiento de esas atribuciones y competencias; todo conforme al primer párrafo del artículo 3 de la presente Ley.

Para efectos de esta Ley, se entenderá por sistema de control interno la serie de acciones ejecutadas por la administración activa, diseñadas para proporcionar seguridad en la consecución de los siguientes objetivos:

• a)Proteger y conservar el patrimonio público contra cualquier pérdida, despilfarro, uso indebido, irregularidad o acto ilegal.
• b)Exigir confiabilidad y oportunidad de la información.
• c)Garantizar eficiencia y eficacia de las operaciones.
• d)Cumplir con el ordenamiento jurídico y técnico.

La administración activa y la auditoría interna de los entes y órganos sujetos a esta Ley, serán los componentes orgánicos del sistema de control interno establecido e integrarán el Sistema de Fiscalización Superior de la Hacienda Pública a que se refiere la Ley Orgánica de la Contraloría General de la República.

Serán responsabilidad del jerarca y del titular subordinado establecer, mantener, perfeccionar y evaluar el sistema de control interno institucional. Asimismo, será responsabilidad de la administración activa realizar las acciones necesarias para garantizar su efectivo funcionamiento.

El jerarca y los titulares subordinados tendrán la responsabilidad de analizar las implicaciones en el sistema de control interno, cuando se lleve a cabo una desconcentración de competencias, o bien la contratación de servicios de apoyo con terceros; asimismo, la responsabilidad de tomar las medidas correspondientes para que los controles sean extendidos, modificados y cambiados, cuando resulte necesario.

La Administración Activa

Deberes del jerarca y los titulares subordinados (Corregido mediante Fe de Erratas y publicada en La Gaceta N° 102 del 29 de mayo de 2003. Anteriormente la redacción de este epígrafe indicaba:

"1.SECCION I 1.. Deberes del jerarca y los titulares subordinados")

En materia de control interno, al jerarca y los titulares subordinados les corresponderá cumplir, entre otros, los siguientes deberes:

• a)Velar por el adecuado desarrollo de la actividad del ente o del órgano a su cargo.
• b)Tomar de inmediato las medidas correctivas, ante cualquier evidencia de desviaciones o irregularidades.
• c)Analizar e implantar, de inmediato, las observaciones, recomendaciones y disposiciones formuladas por la auditoría interna, la Contraloría General de la República, la auditoría externa y las demás instituciones de control y fiscalización que correspondan.
• d)Asegurarse de que los sistemas de control interno cumplan al menos con las características definidas en el artículo 7 de esta Ley.
• e)Presentar un informe de fin de gestión y realizar la entrega formal del ente o el órgano a su sucesor, de acuerdo con las directrices emitidas por la Contraloría General de la República y por los entes y órganos competentes de la administración activa.

En cuanto al ambiente de control, serán deberes del jerarca y de los titulares subordinados, entre otros, los siguientes:

• a)Mantener y demostrar integridad y valores éticos en el ejercicio de sus deberes y obligaciones, así como contribuir con su liderazgo y sus acciones a promoverlos en el resto de la organización, para el cumplimiento efectivo por parte de los demás funcionarios.
• b)Desarrollar y mantener una filosofía y un estilo de gestión que permitan administrar un nivel de riesgo determinado, orientados al logro de resultados y a la medición del desempeño, y que promuevan una actitud abierta hacia mecanismos y procesos que mejoren el sistema de control interno.
• c)Evaluar el funcionamiento de la estructura organizativa de la institución y tomar las medidas pertinentes para garantizar el cumplimiento de los fines institucionales; todo de conformidad con el ordenamiento jurídico y técnico aplicable.
• d)Establecer claramente las relaciones de jerarquía, asignar la autoridad y responsabilidad de los funcionarios y proporcionar los canales adecuados de comunicación, para que los procesos se lleven a cabo; todo de conformidad con el ordenamiento jurídico y técnico aplicable.
• e)Establecer políticas y prácticas de gestión de recursos humanos apropiadas, principalmente en cuanto a contratación, vinculación, entrenamiento, evaluación, promoción y acciones disciplinarias; todo de conformidad con el ordenamiento jurídico y técnico aplicable.

En relación con la valoración del riesgo, serán deberes del jerarca y los titulares subordinados, entre otros, los siguientes:

• a)Identificar y analizar los riesgos relevantes asociados al logro de los objetivos y las metas institucionales, definidos tanto en los planes anuales operativos como en los planes de mediano y de largo plazos.
• b)Analizar el efecto posible de los riesgos identificados, su importancia y la probabilidad de que ocurran, y decidir las acciones que se tomarán para administrarlos.
• c)Adoptar las medidas necesarias para el funcionamiento adecuado del sistema de valoración del riesgo y para ubicarse por lo menos en un nivel de riesgo organizacional aceptable.
• d)Establecer los mecanismos operativos que minimicen el riesgo en las acciones por ejecutar.

Respecto de las actividades de control, serán deberes del jerarca y de los titulares subordinados, entre otros, los siguientes:

• a)Documentar, mantener actualizados y divulgar internamente, las políticas, las normas y los procedimientos de control que garanticen el cumplimiento del sistema de control interno institucional y la prevención de todo aspecto que conlleve a desviar los objetivos y las metas trazados por la institución en el desempeño de sus funciones.
• b)Documentar, mantener actualizados y divulgar internamente tanto las políticas como los procedimientos que definan claramente, entre otros asuntos, los siguientes:

i. La autoridad y responsabilidad de los funcionarios encargados de autorizar y aprobar las operaciones de la institución.

ii. La protección y conservación de todos los activos institucionales.

iii. El diseño y uso de documentos y registros que coadyuven en la anotación adecuada de las transacciones y los hechos significativos que se realicen en la institución. Los documentos y registros deberán ser administrados y mantenidos apropiadamente.

iv. La conciliación periódica de registros, para verificar su exactitud y determinar y enmendar errores u omisiones que puedan haberse cometido.

v. Los controles generales comunes a todos los sistemas de información computarizados y los controles de aplicación específicos para el procesamiento de datos con software de aplicación.

Deberá contarse con sistemas de información que permitan a la administración activa tener una gestión documental institucional, entendiendo esta como el conjunto de actividades realizadas con el fin de controlar, almacenar y, posteriormente, recuperar de modo adecuado la información producida o recibida en la organización, en el desarrollo de sus actividades, con el fin de prevenir cualquier desvío en los objetivos trazados. Dicha gestión documental deberá estar estrechamente relacionada con la gestión de la información, en la que deberán contemplarse las bases de datos corporativas y las demás aplicaciones informáticas, las cuales se constituyen en importantes fuentes de la información registrada.

En cuanto a la información y comunicación, serán deberes del jerarca y de los titulares subordinados, como responsables del buen funcionamiento del sistema de información, entre otros, los siguientes:

• a)Contar con procesos que permitan identificar y registrar información confiable, relevante, pertinente y oportuna; asimismo, que la información sea comunicada a la administración activa que la necesite, en la forma y dentro del plazo requeridos para el cumplimiento adecuado de sus responsabilidades, incluidas las de control interno.
• b)Armonizar los sistemas de información con los objetivos institucionales y verificar que sean adecuados para el cuido y manejo eficientes de los recursos públicos.
• c)Establecer las políticas, los procedimientos y recursos para disponer de un archivo institucional, de conformidad con lo señalado en el ordenamiento jurídico y técnico.

Entiéndese por seguimiento del sistema de control interno las actividades que se realizan para valorar la calidad del funcionamiento del sistema de control interno, a lo largo del tiempo; asimismo, para asegurar que los hallazgos de la auditoría y los resultados de otras revisiones se atiendan con prontitud.

En cuanto al seguimiento del sistema de control interno, serán deberes del jerarca y los titulares subordinados, los siguientes:

• a)Que los funcionarios responsabilizados realicen continuamente las acciones de control y prevención en el curso de las operaciones normales integradas a tales acciones.
• b)Que la administración activa realice, por lo menos una vez al año, las autoevaluaciones que conduzcan al perfeccionamiento del sistema de control interno del cual es responsable. Asimismo, que pueda detectar cualquier desvío que aleje a la organización del cumplimiento de sus objetivos.

(Corregido mediante Fe de Erratas y publicada en La Gaceta 102 del 29 de mayo de 2003. Anteriormente la redacción de este inciso indicaba: "c) Que la administración activa realice, por lo menos una vez al año, las autoevaluaciones que conduzcan al perfeccionamiento del sistema de control interno del cual es responsable. Asimismo, que pueda detectar cualquier desvío que aleje a la organización del cumplimiento de sus objetivos") c) Que sean implantados los resultados de las evaluaciones periódicas que realizan la administración activa, la auditoría interna, la Contraloría General de la República, la auditoría externa y demás instituciones de control y fiscalización que correspondan, dentro de los diez días hábiles siguientes a su notificación.

(Corregido mediante Fe de Erratas y publicada en La Gaceta 102 del 29 de mayo de 2003. Anteriormente la redacción de este inciso indicaba: "d) Que sean implantados los resultados de las evaluaciones periódicas que realizan la administración activa, la auditoría interna, la Contraloría General de la República, la auditoría externa y demás instituciones de control y fiscalización que correspondan, dentro de los diez días hábiles siguientes a su notificación").

Sistema Específico de Valoración del Riesgo

Todo ente u órgano deberá contar con un sistema específico de valoración del riesgo institucional por áreas, sectores, actividades o tarea que, de conformidad con sus particularidades, permita identificar el nivel de riesgo institucional y adoptar los métodos de uso continuo y sistemático, a fin de analizar y administrar el nivel de dicho riesgo.

La Contraloría General de la República establecerá los criterios y las directrices generales que servirán de base para el establecimiento y funcionamiento del sistema en los entes y órganos seleccionados, criterios y directrices que serán obligatorios y prevalecerán sobre los que se les opongan, sin menoscabo de la obligación del jerarca y titulares subordinados referida en el artículo 14 de esta Ley.

El jerarca y los respectivos titulares subordinados de los entes y órganos sujetos a esta Ley, en los que la Contraloría General de la República disponga que debe implantarse el Sistema Específico de Valoración de Riesgo Institucional, adoptarán las medidas necesarias para el adecuado funcionamiento del Sistema y para ubicarse al menos en un nivel de riesgo institucional aceptable.

La auditoría interna

Todos los entes y órganos sujetos a esta Ley tendrán una auditoría interna, salvo aquellos en los cuales la Contraloría General de la República disponga, por vía reglamentaria o disposición singular, que su existencia no se justifica, en atención a criterios tales como presupuesto asignado, volumen de operaciones, nivel de riesgo institucional o tipo de actividad. En este caso, la Contraloría General ordenará a la institución establecer los métodos de control o de fiscalización que se definan.

La auditoría interna es la actividad independiente, objetiva y asesora, que proporciona seguridad al ente u órgano, puesto que se crea para validar y mejorar sus operaciones. Contribuye a que se alcancen los objetivos institucionales, mediante la práctica de un enfoque sistémico y profesional para evaluar y mejorar la efectividad de la administración del riesgo, del control y de los procesos de dirección en las entidades y los órganos sujetos a esta Ley. Dentro de una organización, la auditoría interna proporciona a la ciudadanía una garantía razonable de que la actuación del jerarca y la del resto, de la administración se ejecuta conforme al marco legal y técnico y a las prácticas sanas.

Compete a la auditoría interna, primordialmente lo siguiente:

• a)Realizar auditorías o estudios especiales semestralmente, en relación con los fondos públicos sujetos a su competencia institucional, incluidos fideicomisos, fondos especiales y otros de naturaleza similar. Asimismo, efectuar semestralmente auditorías o estudios especiales sobre fondos y actividades privadas, de acuerdo con los artículos 5 y 6 de la Ley Orgánica de la Contraloría General de la República, en el tanto estos se originen en transferencias efectuadas por componentes de su competencia institucional.
• b)Verificar el cumplimiento, la validez, la suficiencia y la madurez del sistema de control interno de su competencia institucional, informar de ello y proponer las medidas correctivas que sean pertinentes, a través de sus servicios preventivos.

(Así reformado el inciso anterior por el artículo 1° de la Ley para fortalecer la naturaleza de las auditorías internas y su relación con la administración activa, N° 10881 del 16 de marzo de 2026) c) Verificar que la administración activa tome las medidas de control interno señaladas en esta Ley, en los casos de desconcentración de competencias, o bien la contratación de servicios de apoyo con terceros; asimismo, examinar regularmente la operación efectiva de los controles críticos, en esas unidades desconcentradas o en la prestación de tales servicios.

• d)Asesorar, en materia de su competencia, al jerarca del cual depende; además, advertir a los órganos pasivos que fiscaliza sobre las posibles consecuencias de determinadas conductas o decisiones, cuando sean de su conocimiento.
• e)Autorizar, mediante razón de apertura, los libros de contabilidad y de actas que deban llevar los órganos sujetos a su competencia institucional y otros libros que, a criterio del auditor interno, sean necesarios para el fortalecimiento del sistema de control interno.
• f)Preparar los planes de trabajo de conformidad con el artículo 36 de esta ley y los lineamientos que establece la Contraloría General de la República. Estos planes deben incorporarlos aspectos sujetos a control por parte de la auditoría interna, determinados con base en criterios técnicos y legales, así como el seguimiento y la evaluación de las recomendaciones derivadas de las auditorías externas y los estudios especializados externos que la Administración haya contratado, en atención a las sanas prácticas y normativa vigente. La auditoría interna deberá verificar la implementación efectiva de dichas recomendaciones e incorporar sus resultados en sus informes de seguimiento. El plan de trabajo deberá estar disponible para consulta pública, en la forma y los términos que al efecto disponga la Contraloría General de la República.

(Así reformado el inciso anterior por el artículo 1° de la Ley para fortalecer la naturaleza de las auditorías internas y su relación con la administración activa, N° 10881 del 16 de marzo de 2026) g) Elaborar un informe anual de la ejecución del plan de trabajo y del estado de las recomendaciones de la auditoría interna, de la Contraloría General de la República y de los despachos de contadores públicos; en los últimos dos casos, cuando sean de su conocimiento, sin perjuicio de que se elaboren informes y se presenten al jerarca cuando las circunstancias lo ameriten.

• h)Mantener debidamente actualizado el reglamento de organización y funcionamiento de la auditoría interna.
• i)Las demás competencias que contemplen la normativa legal, reglamentaria y técnica aplicable, con las limitaciones que establece el artículo 34 de esta Ley.

La auditoría interna se organizará y funcionará conforme lo disponga el auditor interno, de conformidad con las disposiciones, normas, políticas y directrices que emita la Contraloría General de la República, las cuales serán de acatamiento obligatorio.

Cada auditoría interna dispondrá de un reglamento de organización y funcionamiento, acorde con la normativa que rige su actividad. Dicho reglamento deberá ser aprobado por la Contraloría General de la República, publicarse en el diario oficial y divulgarse en el ámbito institucional.

El auditor y el subauditor internos de los entes y órganos sujetos a esta Ley dependerán orgánicamente del máximo jerarca, quien los nombrará y establecerá las regulaciones de tipo administrativo que les serán aplicables a dichos funcionarios. Los demás funcionarios de la auditoría interna estarán sujetos a las disposiciones administrativas aplicables al resto del personal; sin embargo, el nombramiento, traslado, la suspensión, remoción, concesión de licencias y demás movimientos de personal, deberán contar con la autorización del auditor interno; todo de acuerdo con el marco jurídico que rige para el ente u órgano.

Las regulaciones de tipo administrativo mencionadas no deberán afectar negativamente la actividad de auditoría interna, la independencia funcional y de criterio del auditor y el subauditor interno y su personal; en caso de duda, la Contraloría General dispondrá lo correspondiente.

El auditor interno, el subauditor interno y los funcionarios de la Auditoría Interna ejercerán sus atribuciones con total independencia funcional y de criterio respecto del jerarca, de los demás órganos de la administración activa y de los funcionarios del ente u órgano sujetos a esta ley; tal independencia no los exime de cumplir las normas de conducta y de orden del ente y órgano para el que laboran, siempre que tales normas no afecten negativamente la actividad de la Auditoría Interna.

Sin menoscabo de la independencia funcional y de criterio de la Auditoría Interna, le corresponde al jerarca del ente u órgano evaluar periódicamente el desempeño del auditor, el subauditor y los funcionarios de la Auditoría, en cuanto al cumplimiento de sus deberes y funciones.

(Así reformado por el artículo 1° de la Ley para fortalecer la naturaleza de las auditorías internas y su relación con la administración activa, N° 10881 del 16 de marzo de 2026)

Cuando el personal de la auditoría interna, en el cumplimiento de sus funciones, se involucre en un conflicto legal o una demanda, la institución dará todo su respaldo tanto jurídico como técnico y cubrirá los costos para atender ese proceso hasta su resolución final.

El jerarca de los entes y órganos sujetos a esta Ley deberá asignar los recursos humanos, materiales, tecnológicos, de transporte y otros necesarios y suficientes para que la auditoría interna pueda cumplir su gestión.

Para efectos presupuestarios, se dará a la auditoría interna una categoría programática; para la asignación y disposición de sus recursos, se tomarán en cuenta el criterio del auditor interno y las instrucciones que emita al respecto la Contraloría General de la República.

La auditoría interna ejecutará su presupuesto, conforme lo determinen sus necesidades para cumplir su plan de trabajo.

Las vacantes que, por cualquier razón, tengan lugar en los puestos de la auditoría interna, deberán llenarse en un plazo máximo de tres meses, contado a partir del momento de la vacante. El plazo podrá prorrogarse por otros tres meses, por razones debidamente acreditadas en el expediente que se confeccione al efecto.

La disminución de plazas por movilidad laboral u otros movimientos en la auditoría interna, deberá ser previamente autorizada por el auditor interno.

Los requisitos para la creación y ocupación de plazas de la auditoría interna que definan la Autoridad Presupuestaria u otras instituciones competentes, deberán considerar, en todo momento, sus necesidades reales y no podrán ser aplicados en perjuicio del funcionamiento del sistema de control interno de la institución.

El auditor y subauditor internos

Los entes y órganos sujetos a esta Ley definirán, en sus respectivos manuales de cargos y clases, la descripción de las funciones y los requisitos correspondientes para cada uno de los cargos, de conformidad con los lineamientos que emita al respecto la Contraloría General de la República.

La jornada laboral del auditor, el subauditor interno y los funcionarios de la Auditoría será de tiempo completo y deberá ajustarse al horario laboral del ente u órgano para el que labora. En casos muy calificados, el jerarca podrá solicitar, a la Contraloría General de la República, una reducción de la jornada, la cual no podrá ser inferior a medio tiempo.

Las municipalidades cuyo presupuesto ordinario sea igual o inferior a doscientos millones de colones (¢200 000 000,00), podrán contratar, sin la autorización de la Contraloría General de la República, al auditor y al subauditor internos únicamente por medio tiempo.

Para reducir la jornada laboral de la plaza del auditor o del subauditor internos, el jerarca ordenará un estudio técnico, que deberá presentarse a la Contraloría General de la República, la que resolverá en definitiva lo que proceda.

Cualquier modificación en el horario laboral o la concesión de permisos deberá estar suficientemente motivada y justificada, además, se deberá informar al jerarca de la institución, para su visto bueno.

(Así reformado por el artículo 1° de la Ley para fortalecer la naturaleza de las auditorías internas y su relación con la administración activa, N° 10881 del 16 de marzo de 2026)

El jerarca nombrará por tiempo indefinido al auditor y al subauditor internos. Tales nombramientos se realizarán por concurso público promovido por cada ente y órgano de la Administración Pública; se asegurará la selección de los candidatos idóneos para ocupar los puestos; todo lo cual deberá constar en el expediente respectivo. El expediente y la terna seleccionada deberán ser comunicados, en forma previa a los nombramientos, a la Contraloría General de la República, la cual analizará el proceso y lo aprobará o lo vetará. En este último caso, girará las disposiciones al ente u órgano respectivo y señalará los elementos objetados para su corrección; la administración deberá repetir el proceso a partir de la etapa donde se inició la objeción respectiva.

Los nombramientos interinos serán autorizados, en forma previa y a solicitud de la administración, por parte de la Contraloría General de la República; en ningún caso podrán hacerse por más de doce meses.

Los nombramientos del auditor y el subauditor deberán ser comunicados por el jerarca respectivo a la Contraloría General de la República, a más tardar el primer día hábil del inicio de funciones en los respectivos cargos.

La conclusión de la relación de servicio, por justa causa, del auditor y el subauditor internos, deberá ser conforme al artículo 15 de la Ley Orgánica de la Contraloría General de la República.

Deberes, potestades y prohibiciones de los funcionarios de auditoría

El auditor interno, el subauditor interno y los demás funcionarios de la auditoría interna, tendrán las siguientes obligaciones:

• a)Cumplir las competencias asignadas por ley.
• b)Cumplir el ordenamiento jurídico y técnico aplicable.
• c)Colaborar en los estudios que la Contraloría General de la República y otras instituciones realicen en el ejercicio de competencias de control o fiscalización legalmente atribuidas.
• d)Administrar, de manera eficaz, eficiente y económica, los recursos del proceso del que sea responsable.
• e)No revelar a terceros que no tengan relación directa con los asuntos tratados en sus informes, información sobre las auditorías o los estudios especiales de auditoría que se estén realizando ni información sobre aquello que determine una posible responsabilidad civil, administrativa o eventualmente penal de los funcionarios de los entes y órganos sujetos a esta Ley.
• f)Guardar la confidencialidad del caso sobre la información a la que tengan acceso.
• g)Acatar las disposiciones y recomendaciones emanadas de la Contraloría General de la República. En caso de oposición por parte de la auditoría interna referente a tales disposiciones y recomendaciones, se aplicará el artículo 26 de la Ley Orgánica de la Contraloría General de la República.
• h)Facilitar y entregar la información que les solicite la Asamblea Legislativa en el ejercicio de las atribuciones que dispone el inciso 23) del artículo 121 de la Constitución Política, y colaborar con dicha información.
• i)Cumplir los otros deberes atinentes a su competencia.

El auditor interno, el subauditor interno y los demás funcionarios de la auditoría interna tendrán, las siguientes potestades:

• a)Libre acceso, en cualquier momento, a todos los libros, los archivos, los valores, las cuentas bancarias y los documentos de los entes y órganos de su competencia institucional, así como de los sujetos privados, únicamente en cuanto administren o custodien fondos o bienes públicos de los entes y órganos de su competencia institucional; también tendrán libre acceso a otras fuentes de información relacionadas con su actividad. El auditor interno podrá acceder, para sus fines, en cualquier momento, a las transacciones electrónicas que consten en los archivos y sistemas electrónicos de las transacciones que realicen los entes con los bancos u otras instituciones, para lo cual la administración deberá facilitarle los recursos que se requieran.
• b)Solicitar, a cualquier funcionario y sujeto privado que administre o custodie fondos públicos de los entes y órganos de su competencia institucional, en la forma, las condiciones y el plazo razonables, los informes, datos y documentos para el cabal cumplimiento de su competencia. En el caso de sujetos privados, la solicitud será en lo que respecta a la administración o custodia de fondos públicos de los entes y órganos de su competencia institucional.
• c)Solicitar, a funcionarios de cualquier nivel jerárquico, la colaboración, el asesoramiento y las facilidades que demande el ejercicio de la auditoría interna.
• d)Cualesquiera otras potestades necesarias para el cumplimiento de su competencia, de acuerdo con el ordenamiento jurídico y técnico aplicable.

El auditor interno, el subauditor interno y los demás funcionarios de la auditoría interna, tendrán las siguientes prohibiciones:

• a)Realizar funciones y actuaciones de administración activa; con excepción única de las potestades administrativas otorgadas expresamente en el artículo 24 de esta ley.

(Así reformado el inciso anterior por el artículo 1° de la Ley para fortalecer la naturaleza de las auditorías internas y su relación con la administración activa, N° 10881 del 16 de marzo de 2026) b) Formar parte de un órgano director de un procedimiento administrativo.

• c)Ejercer profesiones liberales fuera del cargo, salvo en asuntos estrictamente personales, en los de su cónyuge, sus ascendientes, descendientes y colaterales por consanguinidad y afinidad hasta tercer grado, o bien, cuando la jornada no sea de tiempo completo, excepto que exista impedimento por la existencia de un interés directo o indirecto del propio ente u órgano. De esta prohibición se exceptúa la docencia, siempre que sea fuera de la jornada laboral.
• d)Participar en actividades político-electorales, salvo la emisión del voto en las elecciones nacionales y municipales.
• e)Revelar información sobre las auditorías o los estudios especiales de auditoría que se estén realizando y sobre aquello que determine una posible responsabilidad civil, administrativa o eventualmente penal de los funcionarios de los entes y órganos sujetos a esta Ley.

Por las prohibiciones contempladas en esta Ley se les pagará un sesenta y cinco por ciento (65%) sobre el salario base.

(Nota de Sinalevi: Véanse los porcentajes por prohibición indicados en la Ley de Salarios de la Administración Pública N° 2166 del 09/10/1957, según fueron adicionados por el artículo 3° del título III de la Ley de Fortalecimiento de las Finanzas Públicas, N° 9635 del 3 de diciembre de 2018) (Nota de Sinalevi: De acuerdo con el Dictamen C-117-2020 de 02 de abril de 2020, el artículo 34 de la Ley General de Control Interno fue tácitamente reformado por el artículo 36 de la Ley de Salarios de la Administración Pública en lo que se refiere a los porcentajes de compensación económica por la prohibición establecida en esa norma, de manera tal que los porcentajes vigentes son los establecidos en el artículo 36 de cita. La reforma tácita al artículo 34 de la Ley General de Control Interno es aplicable a todos los destinatarios de la compensación económica dispuesta en esa norma, independientemente de la naturaleza jurídica de la institución para la cual presten sus servicios. Lo anterior sin perjuicio de lo dispuesto en el Transitorio XXV de la Ley de Fortalecimiento de las Finanzas Públicas y en el artículo 10 del reglamento al Título III de esa ley.)

Informes de auditoría interna

Los informes de auditoría interna deben versar sobre diversos asuntos de su competencia, así como sobre asuntos de los que pueden derivarse posibles responsabilidades, civiles y penales, para funcionarios, exfuncionarios de la institución y terceros.

Los servicios preventivos comprenden la asesoría, los criterios, las opiniones, las advertencias, las observaciones, por lo que cuando de un estudio se deriven hallazgos, conclusiones y recomendaciones sobre asuntos de responsabilidad y otras materias, la Auditoría Interna deberá comunicarlas, en informes independientes para cada materia, al jerarca o a los titulares subordinados de la administración activa, con competencia y autoridad para ordenar la implantación de las respectivas recomendaciones.

Estos servicios, dada su naturaleza preventiva y oportuna, se brindarán independientemente de su inclusión en el Plan de Trabajo Anual, siempre que versen sobre asuntos de su competencia y se deberán fundamentar y justificar en criterios técnicos y jurídicos pertinentes, preservando la independencia y objetividad necesarias para el ejercicio posterior de las demás competencias de la Auditoría Interna. Los informes deberán señalar las posibles responsabilidades civiles y penales de la conducta administrativa que les dio origen.

La comunicación oficial de resultados de un informe de auditoría se regirá por las directrices emitidas por la Contraloría General de la República.

(Así reformado por el artículo 1° de la Ley para fortalecer la naturaleza de las auditorías internas y su relación con la administración activa, N° 10881 del 16 de marzo de 2026)

Las recomendaciones incluidas en los informes o estudios especiales de la Auditoría Interna deberán especificar su relación con los objetivos del Plan de Trabajo, sobre asuntos que deriven en posibles responsabilidades o con las medidas de control interno establecidas en la LCGI.

(Así reformado el párrafo anterior por el artículo 1° de la Ley para fortalecer la naturaleza de las auditorías internas y su relación con la administración activa, N° 10881 del 16 de marzo de 2026) Cuando los informes de auditoría contengan recomendaciones dirigidas a los titulares subordinados, se procederá de la siguiente manera:

(Así reformado el párrafo anterior por el artículo 1° de la Ley para fortalecer la naturaleza de las auditorías internas y su relación con la administración activa, N° 10881 del 16 de marzo de 2026) a) El titular subordinado, en un plazo improrrogable de diez días hábiles contado a partir de la fecha de recibido el informe, podrá ordenar la implantación de las recomendaciones. Si discrepa de ellas, en el transcurso de dicho plazo elevará el informe de auditoría al jerarca, con copia a la Auditoría Interna, expondrá por escrito las razones por las cuales objeta las recomendaciones del informe y propondrá soluciones alternas para los hallazgos detectados.

(Así reformado el inciso anterior por el artículo 1° de la Ley para fortalecer la naturaleza de las auditorías internas y su relación con la administración activa, N° 10881 del 16 de marzo de 2026) b) Con vista de lo anterior, el jerarca deberá resolver, en el plazo de veinte días hábiles contados a partir de la fecha de recibo de la documentación remitida por el titular subordinado; además, deberá ordenar la implantación de recomendaciones de la auditoría interna, las soluciones alternas propuestas por el titular subordinado o las de su propia iniciativa, debidamente fundamentadas. Dentro de los primeros diez días de ese lapso, el auditor interno podrá apersonarse, de oficio, ante el jerarca, para pronunciarse sobre las objeciones o soluciones alternas propuestas. Las soluciones que el jerarca ordene implantar y que sean distintas de las propuestas por la auditoría interna, estarán sujetas, en lo conducente, a lo dispuesto en los artículos siguientes.

• c)El acto en firme será dado a conocer a la auditoría interna y al titular subordinado correspondiente, para el trámite que proceda.

Las recomendaciones incluidas en los informes de la Auditoría Interna deberán estar vinculados con los objetivos del Plan de Trabajo y con las medidas de control interno establecidas en la Ley General de Control Interno; asimismo, deberán acompañarse de las posibles responsabilidades administrativas, civiles y penales de la conducta administrativa que dio origen a tales recomendaciones.

Los criterios, las opiniones, las advertencias u observaciones que emita la Auditoría Interna, que coadyuven a la toma de decisiones de la administración activa de la que son parte, tienen carácter vinculante y deberán estar relacionados con asuntos estrictamente de su competencia, sin que menoscabe o comprometa la independencia y objetividad en el desarrollo posterior de sus demás competencias, por lo que la Auditoría deberá fundamentar y justificar estos servicios preventivos en normas técnicas y jurídicas que le sean aplicables.

El informe de Auditoría dirigido al jerarca tendrá carácter vinculante y sugerirá al titular subordinado correspondiente la aplicación de las recomendaciones, en un plazo improrrogable de treinta días hábiles, contado a partir de la fecha de recibido el informe. Si existe alguna duda razonable para la toma de una decisión, la administración deberá someter el asunto a consideración de instancias internas o externas atinentes que brinden orientación sobre la materia. Si finalmente discrepa de las recomendaciones sugeridas en los informes o en los servicios preventivos de la Auditoría Interna, deberá ordenar las soluciones alternas que motivadamente disponga dentro de un plazo adicional de ocho días hábiles. Todo ello tendrá que comunicarlo debidamente a la Auditoría Interna y al titular subordinado correspondiente.

(Así reformado por el artículo 1° de la Ley para fortalecer la naturaleza de las auditorías internas y su relación con la administración activa, N° 10881 del 16 de marzo de 2026)

Firme la resolución del jerarca que ordene soluciones distintas de las recomendadas por la auditoría interna, esta tendrá un plazo de quince días hábiles, contados a partir de su comunicación, para exponerle por escrito los motivos de su inconformidad con lo resuelto y para indicarle que el asunto en conflicto debe remitirse a la Contraloría General de la República, dentro de los ocho días hábiles siguientes, salvo que el jerarca se allane a las razones de inconformidad indicadas.

La Contraloría General de la República dirimirá el conflicto en última instancia, a solicitud del jerarca, de la auditoría interna o de ambos, en un plazo de treinta días hábiles, una vez completado el expediente que se formará al efecto. El hecho de no ejecutar injustificadamente lo resuelto en firme por el órgano contralor, dará lugar a la aplicación de las sanciones previstas en el capítulo V de la Ley Orgánica de la Contraloría General de la República, N° 7428, de 7 de setiembre de 1994.

Responsabilidades y Sanciones (Corregido mediante Fe de Erratas y publicada en La Gaceta N° 102 del 29 de mayo de 2003. Anteriormente la redacción de este epígrafe indicaba:

"1.CAPITULO V 1.. Responsabilidad y sanciones")

El jerarca y los titulares subordinados incurrirán en responsabilidad administrativa y civil, cuando corresponda, si incumplen injustificadamente los deberes asignados en esta Ley, sin perjuicio de otras causales previstas en el régimen aplicable a la respectiva relación de servicios.

El jerarca, los titulares subordinados y los demás funcionarios públicos incurrirán en responsabilidad administrativa, cuando debiliten con sus acciones el sistema de control interno u omitan las actuaciones necesarias para establecerlo, mantenerlo, perfeccionarlo y evaluarlo, según la normativa técnica aplicable.

Asimismo, cabrá responsabilidad administrativa contra el jerarca que injustificadamente no asigne los recursos a la auditoría interna en los términos del artículo 27 de esta Ley.

Igualmente, cabrá responsabilidad administrativa contra los funcionarios públicos que injustificadamente incumplan los deberes y las funciones que en materia de control interno les asigne el jerarca o el titular subordinado, incluso las acciones para instaurar las recomendaciones emitidas por la auditoría interna, sin perjuicio de las responsabilidades que les puedan ser imputadas civil y penalmente.

El jerarca, los titulares subordinados y los demás funcionarios públicos también incurrirán en responsabilidad administrativa y civil, cuando corresponda, por obstaculizar o retrasar el cumplimiento de las potestades del auditor, el subauditor y los demás funcionarios de la auditoría interna, establecidas en esta Ley.

Cuando se trate de actos u omisiones de órganos colegiados, la responsabilidad será atribuida a todos sus integrantes, salvo que conste, de manera expresa, el voto negativo.

Incurrirán en responsabilidad administrativa el auditor interno, el subauditor interno y los demás funcionarios de la auditoría interna cuando, por dolo o culpa grave, incumplan sus deberes y funciones, infrinjan la normativa técnica aplicable o el régimen de prohibiciones referido en esta Ley; todo sin perjuicio de las responsabilidades que les puedan ser imputadas civil y penalmente.

Según la gravedad, las faltas que señala esta Ley serán sancionadas así:

• a)Amonestación escrita.
• b)Amonestación escrita comunicada al colegio profesional respectivo, cuando corresponda.
• c)Suspensión, sin goce de salario, de ocho a quince días hábiles. En el caso de dietas y estipendios de otro tipo, la suspensión se entenderá por número de sesiones y el funcionario no percibirá durante ese tiempo suma alguna por tales conceptos.
• d)Separación del cargo sin responsabilidad patronal.

Las sanciones previstas en esta Ley serán impuestas por el órgano que ostente la potestad disciplinaria en los entes y órganos sujetos a esta Ley, de acuerdo con la normativa que resulte aplicable.

En caso de que las infracciones previstas en esta Ley sean atribuidas a diputados, regidores y alcaldes municipales, magistrados del Poder Judicial y del Tribunal Supremo de Elecciones, contralor y subcontralor generales de la República, defensor de los habitantes de la República y defensor adjunto, regulador general y procurador general de la República, así como directores de instituciones autónomas, en lo que les sea aplicable, se informará de ello, según el caso, al Tribunal Supremo de Elecciones, a la Corte Suprema de Justicia, al Consejo de Gobierno y a la Asamblea Legislativa, para que conforme a derecho se proceda a imponer las sanciones correspondientes.

La responsabilidad administrativa del funcionario público por las infracciones previstas en esta Ley, prescribirá según el artículo 71 de la Ley Orgánica de la Contraloría General de la República, Nº 7428, de 7 de setiembre de 1994.

Se reputará como falta grave del funcionario competente para iniciar el procedimiento sancionatorio, el no darle inicio a este oportunamente o el dejar prescribir la responsabilidad del infractor, sin causa justificada.

El Poder Ejecutivo reglamentará esta Ley en un plazo máximo de tres meses a partir de su publicación. El proyecto de reglamento será remitido en consulta a la Contraloría General de la República.

Modifícase la siguiente normativa:

• a)Refórmanse el artículo 26, el párrafo primero del artículo 31 y el artículo 71 de la Ley Orgánica de la Contraloría General de la República, Nº 7428, de 7 de setiembre de 1994. Los textos dirán:

"Artículo 26.—Potestad sobre auditorías internas. La Contraloría General de la República fiscalizará que la auditoría interna de los entes y órganos sujetos a su competencia institucional, cumpla adecuadamente las funciones que le señala el ordenamiento jurídico que la regula; coordinará, como mínimo, una actividad anual para fortalecer su gestión. El resultado de dichas fiscalizaciones deberá ser informado directamente al jerarca de la institución y al auditor interno, quienes estarán obligados a tomar las medidas necesarias para su acatamiento o, en su defecto, a plantear su oposición, dentro de un plazo máximo de quince días hábiles.

Presentada la oposición, la auditoría interna dispondrá de un plazo máximo de treinta días hábiles, contados a partir del recibo del informe de la Contraloría, para fundamentar debidamente su oposición.

Recibida la fundamentación de la oposición, la Contraloría General de la República tendrá un plazo máximo de treinta días hábiles para resolver el conflicto planteado y deberá notificar, de inmediato, al ente u órgano discrepante, lo resuelto en este asunto." "Artículo 31.—Potestad de informar y asesorar. La Contraloría General de la República rendirá, a los órganos parlamentarios y a cada uno de los diputados, los informes que estos le soliciten; lo realizará de oficio cuando su participación se haya solicitado de conformidad con el segundo párrafo del artículo 22 de la presente Ley. En razón del carácter de órgano auxiliar en el control y la fiscalización de la Hacienda Pública, la Contraloría General de la República remitirá al Plenario Legislativo copia de todos los informes restantes que rinda en el ejercicio de dichas potestades.

[...]" "Artículo 71.—Prescripción de la responsabilidad disciplinaria. La responsabilidad administrativa del funcionario público por las infracciones previstas en esta Ley y en el ordenamiento de control y fiscalización superiores, prescribirá de acuerdo con las siguientes reglas:

• a)En los casos en que el hecho irregular sea notorio, la responsabilidad prescribirá en cinco años, contados a partir del acaecimiento del hecho.
• b)En los casos en que el hecho irregular no sea notorio –entendido este como aquel hecho que requiere una indagación o un estudio de auditoría para informar de su posible irregularidad- la responsabilidad prescribirá en cinco años, contados a partir de la fecha en que el informe sobre la indagación o la auditoría respectiva se ponga en conocimiento del jerarca o el funcionario competente para dar inicio al procedimiento respectivo.

La prescripción se interrumpirá, con efectos continuados, por la notificación al presunto responsable del acto que acuerde el inicio del procedimiento administrativo.

Cuando el autor de la falta sea el jerarca, el plazo empezará a correr a partir de la fecha en que él termine su relación de servicio con el ente, la empresa o el órgano respectivo.

Se reputará como falta grave del funcionario competente para iniciar el procedimiento sancionatorio, el no darle inicio a este oportunamente o el dejar que la responsabilidad del infractor prescriba, sin causa justificada." b) Refórmase el artículo 18 de la Ley sobre enriquecimiento ilícito de los servidores públicos, Nº 6872, de 17 de junio de 1983. El texto dirá:

"Artículo18.—El responsable de la unidad de recursos humanos de cada entidad o, en su defecto, aquel quien el jerarca defina, deberá informar a la Contraloría General de la República, dentro de los ocho días siguientes a cada nombramiento, el nombre y las calidades de los servidores que ocupen los cargos para cuyo desempeño se requiera la declaración jurada de bienes, con indicación de la fecha en que esos funcionarios iniciaron sus funciones.

Dentro del mismo plazo citado en el párrafo anterior, cada entidad deberá informar la fecha en que, por cualquier circunstancia, los servidores obligados a declarar concluyan su relación de servicio. La desobediencia de esta obligación será considerada falta grave, para todos los efectos legales." c) Refórmase el artículo 4 de la Ley Orgánica de la Procuraduría General de la República, Nº 6815, de 27 de setiembre de 1982. El texto dirá:

"Artículo 4.—Consultas. Los órganos de la Administración Pública, por medio de los jerarcas de los diferentes niveles administrativos, podrán consultar el criterio técnico-jurídico de la Procuraduría; en cada caso, deberán acompañar la opinión de la asesoría legal respectiva, salvo el caso de los auditores internos, quienes podrán realizar la consulta directamente." d) Adiciónase el inciso 1) al artículo 5 del Estatuto del Servicio Civil, Ley Nº 1581, de 30 de mayo de 1953. El texto dirá:

"Artículo 5.—Quedan también exceptuados de este Estatuto, los siguientes funcionarios y empleados:

[...]

• l)Los auditores y subauditores internos de los ministerios y organismos adscritos."

Deróganse los artículos 59, 60, 61, 63, 64, 65 y 66 de la Ley Orgánica de la Contraloría General de la República, Nº 7428, de 7 de setiembre de 1994.

Rige a partir de su publicación.

Comuníquese al Poder Ejecutivo Asamblea Legislativa.- San José, a los dieciocho días del mes de julio de del dos mil dos.

Presidencia de la República. -San José, a los treinta y un días del mes de julio de del dos mil dos.