La gestión del riesgo de cumplimiento normativo y la auditoría dejaron de ser un conjunto de rutinas de supervisión y se incorporaron a la agenda del consejo.
Para los directivos de empresas medianas y grandes, la cuestión no es si esas funciones existen, sino si se comunican entre sí.
En este artículo, verá cómo estructurar la gestión del riesgo de cumplimiento y la auditoría con marcos reconocidos, indicadores accionables y tecnología, incluso ante los desafíos de la inteligencia artificial.
¿Qué son la gestión de riesgos, el cumplimiento normativo y la auditoría en la práctica?
La gestión del riesgo de cumplimiento y la auditoría son el sistema que conecta tres funciones: identificar y priorizar las incertidumbres que amenazan los objetivos, garantizar el cumplimiento de las leyes, normas y políticas internas y verificar de forma independiente si los controles funcionan. Juntas, respaldan las decisiones estratégicas con evidencia y rastreabilidad.
Cada función responde a una pregunta diferente. La tabla siguiente resume la división de funciones.
| Función | Pregunta central | Entrega principal |
| Gestión de riesgos | ¿Qué puede comprometer nuestros objetivos? | Módulo de riesgos, apetito y planes de respuesta |
| Conformidad | ¿Estamos adheridos a lo que somos obligados a cumplir? | Políticas, controles y supervisión regulatoria |
| Auditoría interna | ¿Los controles realmente funcionan? | Opinión independiente y recomendaciones |
¿Por qué tratar las tres funciones de forma aislada compromete el resultado?
La búsqueda Encuesta de referencia mundial sobre la gestión de la construcción 2025, McKinsey entrevistó a 193 líderes corporativos y concluyó que, para la mayoría de las empresas, el GRC sigue siendo un trabajo en curso. En casi la mitad de las instituciones (47%), la función de compliance está dos niveles por debajo del CEO o más.
El mismo estudio muestra que pocas empresas vinculan la remuneración a métricas de riesgo o cumplimiento. Sin incentivos, la agenda pierde impulso en las decisiones que realmente impulsan el negocio.
Cuando la integración entre cumplimiento y gestión de riesgos genera valor estratégico
La conformidad y la gestión de riesgos generan valor cuando comparten una taxonomía, criterios de priorización y planes de acción. La conformidad traduce obligaciones en controles; los riesgos miden la probabilidad y el impacto sobre los objetivos. Integradas, evitan controles de baja relevancia y concentran los esfuerzos y los recursos en aquellos casos en los que la exposición es mayor.
Según Encuesta de Cumplimiento Global de Nasdaq 2025, La proporción de profesionales de compliance que reportan al Chief Risk Officer aumentó de 18% a 33% en un año.
No todo riesgo se resuelve con una norma.
En las Artículo clásico de la Harvard Business Review, Robert Kaplan y Anette Mikes alertan que tratar el riesgo solo como una cuestión de cumplimiento es insuficiente. Los autores proponen tres categorías, cada una con una respuesta propia.
| Categoría | Origen | Método recomendado |
| Riesgos evitables | Errores internos en la conducta y el proceso | Reglas, controles y cultura de integridad |
| Riesgos estratégicos | Aceptados deliberadamente para generar retorno | Diálogo abierto y gestión activa dentro de la estrategia |
| Riesgos externos | Eventos fuera del control de la empresa | Escenarios, simulaciones y planes de contingencia |
La implicación para el ejecutivo es directa: el cumplimiento protege contra lo evitables, pero solo la gestión de riesgos conectada a la estrategia enfrenta lo demás.
Este es el punto en el que el tema se acerca al tema gestión de riesgos regulatorios, Cada vez más exigida por normas sectoriales.
Cómo estructurar frameworks y líneas de defensa
La arquitectura de gobernanza solo sustenta la integración cuando todas las áreas hablan el mismo idioma.
Sin referencias comunes, cada función adopta criterios propios y la consolidación para la administración se convierte en un trabajo artesanal, difícil de auditar y de comparar entre períodos.
Frameworks que sustentan la gestión del riesgo, el cumplimiento normativo y la auditoría
Los marcos que sustentan la gestión de riesgos, el cumplimiento normativo y la auditoría son:
- ISO 31000 ofrece principios y proceso para gestionar los riesgos;
- El COSO ERM integra los riesgos en la estrategia y el rendimiento;
- El modelo de tres líneas del IIA separa las responsabilidades entre la gestión, las funciones de apoyo y la auditoría interna;
- La ISO 37301 estructura los sistemas de cumplimiento.
Juntos, estos frameworks forman una arquitectura coherente, cuya elección depende del contexto de la empresa.
La ISO 31000 es flexible y se adapta a entornos en constante cambio. Por su parte, COSO ERM Es más prescritivo y común en instituciones financieras y empresas abiertas.
¿Cómo se dividen las responsabilidades en el modelo de tres líneas?
El Modelo de Tres Líneas, publicado por el IIA en 2020, evita la superposición y las lagunas de responsabilidad. La tabla muestra la división más indicada:
| Linha | Quién actúa | Responsabilidad |
| Primera línea | Áreas de negocio y operación | Gestionar los riesgos y aplicar controles en el día a día |
| 2ª línea | Riesgos, cumplimiento, controles internos, seguridad de la información | Orientar metodológicamente, monitorear y consolidar |
| 3ª línea | Auditoría interna | Evaluar de forma independiente la gobernanza, los riesgos y los controles |
Análisis de riesgo de cumplimiento y evaluación de riesgos: del mapeo al tratamiento
El proceso de análisis de riesgo de cumplimiento comienza en la relación entre obligaciones y objetivos. No basta con enumerar normas; es necesario entender qué incumplimientos afectan la rentabilidad, la reputación o la licencia para operar.
¿Cómo se debe llevar a cabo la evaluación de riesgos?
La evaluación comienza con la identificación de los riesgos relacionados con los objetivos, continúa con el análisis de probabilidad e impacto, y termina con la priorización frente al apetito por el riesgo. Luego, se definen respuestas, controles y responsables formales, con monitoreo continuo, revisión periódica de los resultados y registro de evidencias.
Para profundizar en cada fase, vale consultar las Tres etapas de la evaluación del riesgo. Una buena evaluación de los riesgos de cumplimiento diferencia el riesgo inherente, antes de los controles, del riesgo residual, después de ellos.
Herramientas de priorización y plan de respuesta
A matriz de riesgo 4×4 Sigue siendo el instrumento visual central. Su valor, sin embargo, depende de criterios calibrados y de una actualización continua, y no de un retrato anual.
Después de priorizar, el siguiente paso es plan de mitigación de riesgos, Con responsables, plazos y alertas.
👉 ¿Quieres ver cómo estructurar tu mapa de riesgos? Acceda a los Materiales gratuitos de Actio y profundiza en la metodología.
El papel de la auditoría interna en la gestión del riesgo, el cumplimiento normativo y la auditoría
La auditoría interna cierra el ciclo de control: es ella la que confirma, de forma independiente, si lo que fue diseñado por la gestión de riesgos y el cumplimiento funciona de hecho. Sin esta verificación, la empresa depende de autoevaluaciones y de los informes propios de la gestión, que suelen ser optimistas.
En la práctica, la auditoría basada en el riesgo convierte las exposiciones críticas del mapa en un alcance de trabajo, en tres movimientos cuyo resultado llega al consejo:
- Planificación el plan anual se basa en los riesgos prioritarios y es aprobado por el comité de auditoría;
- Pruebas y informe: evalúa el diseño y la eficacia de los controles y clasifica los hallazgos por gravedad;
- Seguimiento: verifica la implementación de los planes de acción, con independencia y coordinación con la segunda línea.
Para que el trabajo sea relevante, el plan anual debe orientarse por los riesgos más críticos del mapa, y no por la rutina histórica. Soluciones de auditoría permiten planificar, ejecutar y monitorear las discrepancias en un único entorno.
Gestión de riesgos y cumplimiento de IA: la nueva frontera de la gobernanza
La inteligencia artificial añade una capa de complejidad. Los sistemas de IA generativos producen resultados no determinísticos, lo que requiere pruebas, monitoreo y supervisión humanas, y no solo políticas.
La búsqueda BCG y MIT Sloan Management Review, El estudio, realizado en 2025 y con 1.221 respondientes, muestra la discrepancia. Aunque 85% de las empresas implementan programas de IA responsable, solo 25% tienen estructuras totalmente maduras.
Otro dato llama la atención: 87% afirman que la cobranza proviene de instancias internas, como consejos y clientes, y solo 7,5% de reguladores. En otras palabras, la gestión de riesgos y la conformidad de la IA no puede esperar a que la regulación se incluya en la agenda.
Los seis elementos de un programa maduro, según el estudio, pueden adaptarse a su estructura de GRC:
- Inventario y evaluación de riesgos de todos los sistemas de IA en uso;
- Gobernanza sólida, con un ejecutivo responsable y un equipo multifuncional;
- Revisión diferenciada por riesgo, Para evitar el uso de productos de bajo impacto;
- Controles en el ciclo de desarrollo de software;
- Pruebas y evaluación combinando la automatización y el juicio humano;
- Monitorización y plan de respuesta a los incidentes.
Indicadores y rituales que sustentan la gobernanza
Un panel eficaz combina dos tipos de medida. Los indicadores de resultado muestran lo que ya ha ocurrido, como los hallazgos de auditoría recurrentes; los indicadores de tendencia señalan una deterioración antes del evento, como controles vencidos sin verificación.
Para que cada indicador genere una decisión, y no solo una lectura, vale definir cuatro atributos:
- Propietario: un responsable nombrado por el resultado;
- Limite: la franja de tolerancia vinculada al apetito por riesgo aprobado;
- Frecuencia: periodicidad compatible con la velocidad del riesgo;
- Detonante: acción e instancia de escalonamiento cuando el límite se rompe.
Con estos atributos definidos, la siguiente tabla reúne cinco indicadores que cubren las tres líneas.
| Indicator | Lo que revela |
| % de riesgos críticos con plan de acción en el plazo | Capacidad de ejecución de la respuesta |
| % Los controles clave probados durante el período | Cubrimiento de las líneas segunda y tercera |
| Descubrimientos de auditoría recurrentes | Eficacia de las correcciones |
| Tiempo medio de resolución de problemas | Agilidad en la gestión |
| Riesgos por encima del apetito aprobado | Adherencia a la estrategia |
Estos indicadores adquieren mayor importancia cuando se incorporan a la rutina de toma de decisiones. El contenido sobre Plan de ejecución de la estrategia muestra cómo vincular iniciativas, responsables y rituales de seguimiento.
Cómo la tecnología sustenta la gestión del riesgo, la conformidad y la auditoría
Seguir estos indicadores con regularidad requiere tecnología. Las hojas de cálculo funcionan en estructuras pequeñas, pero no consolidan riesgos, controles, auditorías y planes de acción a escala. Falta historial, alertas y rastreabilidad.
Según Gartner, Las herramientas de GRC apoyan el proceso de gestión de riesgos corporativos en todas las etapas, desde la identificación hasta el reporte. La clave está en elegir una plataforma que conecte estos datos con la estrategia.
En este escenario, la solución de Gestión de Riesgos da Actio reúne en un único entorno las matrices de riesgos, los controles internos, las autoevaluaciones, los tests de control, las auditorías y los planes de acción. En la práctica, esto aporta cuatro beneficios:
- Visión consolidada: Los indicadores anteriores se extraen de una única base, y no de hojas de cálculo paralelas;
- Rastreabilidad: cada riesgo, control y hallazgo tiene un historial, un responsable y una evidencia;
- Seguimiento de plazos: Los planes de acción y los ensayos de control quedan visibles, con fechas y propietarios;
- Decisión con datos: La dirección prioriza en función del apetito por el riesgo y cada línea actúa con claridad.
En general, la gestión de riesgos, el cumplimiento y la auditoría aportan valor cuando funcionan como un sistema único, sustentado por la tecnología: los riesgos se priorizan según la estrategia, el cumplimiento se traduce en controles relevantes y la auditoría valida la eficacia de forma independiente.
El camino pasa por marcos comunes, una clara división de funciones, indicadores acompañados por un comité y tecnología que consolide la información. Frente a la IA, el mismo rigor debe extenderse a nuevos sistemas y proveedores.
Si su empresa busca salir del modelo fragmentado, conozca la solución de Gestión de Riesgos de Actio y estructurar una gobernanza más segura, integrada y conectada a los resultados.
