{"id":50844,"date":"2024-10-10T09:00:00","date_gmt":"2024-10-10T12:00:00","guid":{"rendered":"https:\/\/actiosoftware.com?p=50844"},"modified":"2026-09-09T13:35:15","modified_gmt":"2026-09-09T16:35:15","slug":"control-interno-y-gestion-de-riesgos","status":"publish","type":"post","link":"https:\/\/actiosoftware.com\/es\/blog\/controle-interno-e-gestao-de-riscos\/","title":{"rendered":"Control Interno y Gesti\u00f3n de Riesgos: Gu\u00eda para Elegir la Soluci\u00f3n Ideal\u00a0"},"content":{"rendered":"

En una encuesta reciente de McKinsey & Company<\/strong> con l\u00edderes de riesgo de diversos sectores, las propias empresas evaluaron sus capacidades de gesti\u00f3n de riesgos con una nota media de 2,6 en una escala de 4 puntos, siendo el sector de seguros el \u00fanico en clasificarse como \u201cbueno\u201d, con una nota de 3,2.  <\/p>\n\n\n\n

El dato expone un s\u00edntoma recurrente: la mayor\u00eda de las organizaciones todav\u00eda ve el control interno y la gesti\u00f3n de riesgos como funciones vecinas, no como un sistema \u00fanico de protecci\u00f3n y decisi\u00f3n. <\/p>\n\n\n\n

Este hiato tiene un costo mensurable, y este crece a medida que la empresa se expande.  <\/p>\n\n\n\n

Esta gu\u00eda fue escrita para altos directivos que ya entienden la importancia del tema y ahora eval\u00faan qu\u00e9 camino seguir, cubriendo los criterios t\u00e9cnicos para elegir una soluci\u00f3n de gesti\u00f3n de riesgos y controles internos<\/strong> a la altura de la complejidad del negocio. <\/p>\n\n\n\n

Lo que diferencia el control interno y la gesti\u00f3n de riesgos en la pr\u00e1ctica corporativa<\/strong> <\/h2>\n\n\n\n

La gesti\u00f3n de riesgos identifica, eval\u00faa y trata incertidumbres que pueden comprometer objetivos futuros; el control interno garantiza que los procesos del presente funcionen dentro de los par\u00e1metros definidos por la organizaci\u00f3n, reduciendo la probabilidad de error, fraude o incumplimiento. <\/p>\n\n\n\n

Gesti\u00f3n de riesgos: de la identificaci\u00f3n a la respuesta estrat\u00e9gica<\/em><\/strong> <\/h3>\n\n\n\n

Una gesti\u00f3n de riesgos estructurada sigue un ciclo continuo: identificaci\u00f3n de los eventos que pueden afectar objetivos, an\u00e1lisis de probabilidad e impacto, definici\u00f3n de respuesta y monitoreo constante.  <\/p>\n\n\n\n

Este ciclo solo se sostiene cuando existe una pol\u00edtica de gesti\u00f3n de riesgos y controles internos formalizada<\/strong>, documento que define los criterios de aceptaci\u00f3n, los l\u00edmites de decisi\u00f3n y la metodolog\u00eda utilizada para clasificar los riesgos. <\/p>\n\n\n\n

Sin esa pol\u00edtica, cada consejo de administraci\u00f3n interpreta el apetito de riesgo a su manera, y la gobernanza se fragmenta incluso antes de que entre en juego cualquier mecanismo de control.  <\/p>\n\n\n\n

Las empresas que ya han avanzado en este proceso suelen recurrir a un mapeo estructurado de riesgos<\/strong><\/a> como punto de partida, ya que es \u00e9l quien traduce la pol\u00edtica en acci\u00f3n concreta por proceso y por \u00e1rea.  <\/p>\n\n\n\n

Entender Por qu\u00e9 la gesti\u00f3n de riesgos ya deber\u00eda ser una prioridad<\/strong><\/a> ayuda a justificar esa inversi\u00f3n a nivel interno, incluso antes de hablar de tecnolog\u00eda. <\/p>\n\n\n\n

Control interno: la primera l\u00ednea de defensa de la gobernanza<\/em><\/strong> <\/h3>\n\n\n\n

El modelo de las tres l\u00edneas de defensa establece el control interno como primera capa de protecci\u00f3n<\/strong>: son los controles preventivos, detectivos y correctivos que se aplican directamente all\u00ed donde se produce el riesgo, en el proceso operativo.  <\/p>\n\n\n\n

La segunda l\u00ednea, el cumplimiento normativo y la gesti\u00f3n de riesgos, supervisa si dichos controles funcionan; la tercera, la auditor\u00eda interna, eval\u00faa de forma independiente el conjunto en su totalidad.  <\/p>\n\n\n\n

Incorporar esta pol\u00edtica en el propio sistema de gesti\u00f3n, y no en documentos independientes, es lo que permite revisiones peri\u00f3dicas de riesgos con responsables designados<\/strong><\/a>, en lugar de controles que solo existen sobre el papel. <\/p>\n\n\n\n

Dimensi\u00f3n<\/strong> <\/td>Gesti\u00f3n de riesgos<\/strong> <\/td>Control interno<\/strong> <\/td><\/tr>
Enfoque temporal <\/td>Previsi\u00f3n de amenazas y oportunidades <\/td>Correcto funcionamiento de los procesos <\/td><\/tr>
Objetivo principal <\/td>Reducir la incertidumbre y respaldar las decisiones estrat\u00e9gicas <\/td>Garantizar el cumplimiento normativo, la precisi\u00f3n y la prevenci\u00f3n del fraude <\/td><\/tr>
Naturaleza <\/td>Proactiva y anal\u00edtica <\/td>Operativa y normativa <\/td><\/tr>
Ejemplo pr\u00e1ctico <\/td>Identificar el riesgo cambiario en un contrato internacional <\/td>Segregaci\u00f3n de funciones en la aprobaci\u00f3n de pagos <\/td><\/tr><\/tbody><\/table><\/figure>\n\n\n\n

Por qu\u00e9 resulta costoso tratar el control interno y la gesti\u00f3n de riesgos como \u00e1reas aisladas<\/strong> <\/h2>\n\n\n\n

Cuando el control interno y la gesti\u00f3n de riesgos funcionan de forma aislada, la consecuencia m\u00e1s habitual no es la ausencia de controles, sino un exceso de los mismos, aplicados en el lugar equivocado y sobre riesgos que nadie ha evaluado con rigor.  <\/p>\n\n\n\n

El resultado es tener que volver a hacer el trabajo<\/strong>, auditor\u00edas que no convergen con el mapa de riesgos y un consejo que recibe informaci\u00f3n fragmentada. <\/p>\n\n\n\n

El Instituto de Gesti\u00f3n de Proyectos<\/strong> sigue de cerca este fen\u00f3meno. Los profesionales de proyectos con mayor madurez registran una tasa de fracaso de los proyectos de 8%, frente a los 11% de los profesionales con menor madurez. <\/p>\n\n\n\n

La diferencia parece peque\u00f1a, pero en carteras de proyectos estrat\u00e9gicos<\/strong><\/a> de medianas y grandes empresas se traduce en millones de reales de retrabajo por ciclo presupuestario. <\/p>\n\n\n\n

Marcos de trabajo que sustentan el control interno y la gesti\u00f3n de riesgos corporativos: COSO ERM e ISO 31000<\/strong> <\/h2>\n\n\n\n

Ninguna organizaci\u00f3n precisa reinventar la metodolog\u00eda desde cero<\/strong>. Dos referencias ya consolidadas orientan c\u00f3mo estructurar el control interno y la gesti\u00f3n de riesgos de manera consistente, auditable y reconocida por reguladores e inversores: el COSO ERM y la ISO 31000.  <\/p>\n\n\n\n

Comprender d\u00f3nde se aplica mejor cada una es el primer paso antes de elegir cualquier herramienta. <\/p>\n\n\n\n

COSO ERM: de los controles financieros a la gesti\u00f3n de riesgos corporativos<\/em><\/strong> <\/h3>\n\n\n\n

Creado originalmente para combatir el fraude financiero, el COSO evolucion\u00f3 hacia el COSO ERM, un marco que vincula el control interno con la estrategia y el desempe\u00f1o organizacional.  <\/p>\n\n\n\n

Es la referencia m\u00e1s utilizada por empresas con fuerte exigencia de auditor\u00eda y cumplimiento regulatorio, exactamente porque formaliza la trazabilidad y la responsabilidad en cada capa de defensa.  <\/p>\n\n\n\n

En este modelo, la gesti\u00f3n de riesgos corporativos y controles internos<\/strong> deja de ser tratada como dos \u00e1reas de informaci\u00f3n separadas y pasa a responder por una \u00fanica funci\u00f3n de gobernanza. <\/p>\n\n\n\n

ISO 31000: proceso continuo y cultura de riesgo<\/em><\/strong> <\/h3>\n\n\n\n

ISO 31000 no es certificable<\/strong>l, lo que explica por qu\u00e9 tantas empresas la adoptan sin burocracia adicional. Trata la gesti\u00f3n de riesgos como un proceso continuo, integrado en la toma de decisiones en todos los niveles, desde la operaci\u00f3n hasta el consejo. <\/p>\n\n\n\n

En la pr\u00e1ctica, cada vez m\u00e1s empresas combinan las dos referencias<\/strong><\/a>: a ISO 31000 como filosof\u00eda y proceso continuo, el COSO ERM como estructura de control y alineaci\u00f3n con la estrategia.  <\/p>\n\n\n\n

El coste de desconectar el control interno y la gesti\u00f3n de riesgos de la ejecuci\u00f3n de la estrategia<\/strong> <\/h2>\n\n\n\n

Robert Kaplan argumenta que la crisis financiera de 2007 revel\u00f3 una laguna en los sistemas de gesti\u00f3n de las empresas<\/strong><\/a>ellos se concentraban en el valor para el accionista, el crecimiento de los ingresos, la productividad y el control de costos, pero rara vez incorporaban el riesgo de forma expl\u00edcita. <\/p>\n\n\n\n

La respuesta que \u00e9l y David Norton propusieron fue un cuadro de mando de indicadores de riesgo, paralelo directo al mapa estrat\u00e9gico, pero dedicado a rastrear la probabilidad de que la estrategia falle por exposici\u00f3n no gestionada. <\/p>\n\n\n\n

Esta laguna sigue siendo habitual. Seg\u00fan Kaplan y Norton, hasta el 90% de las estrategias no llegan a ejecutarse<\/strong><\/a> con \u00e9xito, y la ausencia de un sistema robusto de seguimiento est\u00e1 entre las causas m\u00e1s citadas.  <\/p>\n\n\n\n

Cuando el riesgo no tiene lugar formal en el sistema de gesti\u00f3n, aparece de todas formas<\/strong>; solo que tarde, como sorpresa en el resultado trimestral, y no como se\u00f1al anticipada. <\/p>\n\n\n\n

Empresas que ya conectaron la ejecuci\u00f3n de la estrategia<\/strong><\/a> los indicadores de riesgo y desempe\u00f1o tienden a formalizar este proceso dentro del propio ciclo de planificaci\u00f3n.\u00a0<\/p>\n\n\n\n

Soluci\u00f3n de gesti\u00f3n de riesgos y controles internos: los criterios que un gestor s\u00e9nior debe exigir<\/strong> <\/h2>\n\n\n\n

A estas alturas, la pregunta deja de ser \u201cpor qu\u00e9 integrar\u201d y pasa a ser \u201ccon qu\u00e9\u201d. Una soluci\u00f3n de gesti\u00f3n de riesgos y controles internos madura necesita resolver tres problemas al mismo tiempo:  <\/p>\n\n\n\n