MODELO DE CONTROL INTERNO

MODELOS DE CONTROL INTERNO

Es comúnmente aceptado que las entidades empresariales existen para generar valor a sus grupos de interés. Este objetivo sólo será alcanzable si se administran adecuadamente las incertidumbres que las rodean, o lo que es lo mismo si se gestionan convenientemente aquellas oportunidades y amenazas que en cada momento les pudieran afectar.

Para conseguirlo disponemos de diversos protocolos, de ellos, quizá, el más utilizado sea el denominado Enterprise Risk Management, o COSO II (The Committee of Sponsoring Organizations of the Treadway Commission), que establece que: la gestión de los riesgos corporativos es un proceso efectuado por el consejo de administración de la entidad, su dirección y restante personal, aplicable a la definición de estrategias en toda la empresa y diseñado para identificar eventos potenciales que puedan afectar a la organización, gestionar sus riesgos dentro del riesgo aceptado y proporcionar una seguridad razonable sobre el logro de los objetivos.. Este proceso está integrado por 8 componentes : ambiente de control, establecimiento de objetivos, identificación de eventos, evaluación de riesgos, respuesta al riesgo, actividades de control, información/comunicación y supervisión; todos ellos de igual importancia, si bien el correspondiente a la supervisión es, desde nuestra perspectiva, en el que subyace una mayor trascendencia, ya que es el que permitirá evaluar si el proceso integral de administración de los riesgos se lleva a cabo de forma eficiente. En caso afirmativo aportará, una seguridad razonable sobre el adecuado desarrollo del proceso de gestión de riesgos o, en su defecto, permitirá obtener la información necesaria para adoptar las modificaciones que sean necesarias.

Modelo de las Tres Líneas de Defensa

La mayor complejidad de los negocios, y las circunstancias en la que estos actualmente se desenvuelven, sobre todo en épocas de crisis como la actual, han requerido que las estructuras de las organizaciones sean cada vez más fuertes en sus aspectos de control interno y de gestión de riesgos, incidiendo y potenciando la necesaria supervisión;. En este contexto, un modelo considerado globalmente como una mejor práctica es el denominado de las «Tres Líneas de Defensa», que en forma resumida reflejamos en el siguiente cuadro.

Como primera línea de defensa se situaría la dirección operativa de la organización. Ésta tendrá la responsabilidad directa de desarrollar y supervisar los procesos sobre los que descansan todas las actividades de la empresa. Entre ellas, rendir cuentas respecto a la evaluación, el control y la mitigación de los riesgos.

En la segunda línea de defensa se ubicarían otras funciones tales como el cumplimiento normativo, el control financiero o la gestión de riesgos. La segunda línea de defensa debe facilitar y coordinar la implantación de prácticas efectivas de gestión de riesgos por parte de las direcciones operativas y ayudar a los propietarios de los riesgos en la adecuada presentación de esta información hacia toda la organización. Verificando la eficacia obtenida.

Por último, como tercera línea de defensa estaría la dirección de auditoría interna, que proporcionará aseguramiento al Consejo de Administración y a la alta dirección de la organización sobre el grado de efectividad global alcanzado en el proceso de evaluación y gestión de sus riesgos ( resultado de la manera en que la primera y segunda líneas de defensa realmente actúan). Esta tarea de aseguramiento debe cubrir todos los elementos del marco de trabajo de la gestión de riesgos de la institución: desde la identificación de riesgos, la evaluación de riesgos o la respuesta a la comunicación de información relacionada con el riesgo.

Es en la tercera línea de defensa donde se ubica la supervisión de la totalidad del proceso de gestión de riesgos empresariales. En ella recae la responsabilidad final de la evaluación de la eficacia integral del modelo, en base a la cual los órganos de decisión de las compañías consolidarán sus actuales diseños y desarrollos, o determinarán los cambios que sean pertinentes con los que alcanzar la eficacia que les es requerida. Pero para que esto resulte válido, se hace imprescindible que la actividad de auditoría interna se realice de forma adecuada, mediante un enfoque objetivo y sistemático en la evaluación y mejora del proceso de gestión de riesgos. La función de Auditoría Interna está asumiendo una responsabilidad muy importante, puesto que de sus conclusiones y hallazgos se derivan decisiones gerenciales fundamentales para la correcta marcha del negocio.

Gestión del riesgo de Auditoría Interna y Evaluación de Calidad

Por todo ello debemos considerar que entre los riesgos operativos con los que han de convivir las organizaciones se encuentra el que denominaremos “Riesgo de Auditoría Interna ”, que podríamos definir como la eventualidad de que en sus informes existan errores que incidan sobre la bondad del aseguramiento de los procesos efectuados. Su probabilidad de ocurrencia se mediría por la frecuencia en que esta circunstancia sucediese, en tanto que su impacto dependerá de la materialidad de los errores.

Dado por tanto que el Riesgo de Auditoría Interna existe y es real, es un riesgo inherente más que las organizaciones deben gestionar; para ello lo primero que sugerimos es la identificación de los factores de riesgo que lo propician, para posteriormente identificar los controles existentes con los que gestionarlos, de forma que, como con cualquier otro tipo de riesgo, poder evaluar el nivel residual existente y compararlo con el “apetito al riesgo” que se haya considerado adecuado aceptar.

Respecto de los factores que pueden generar el Riesgo de Auditoría Interna, en nuestra opinión son múltiples, tanto de tipo estructural como coyunturales, tales como: actitud y aptitud de los auditores internos, dimensión de las Direcciones de Auditoría Interna, dependencia funcional y jerárquica del Director de Auditoría Interna, modelo de determinación de la planificación anual empleado, coordinación con los otros proveedores de aseguramiento, herramientas de gestión utilizadas, etc.

En este sentido el Instituto Global

...