Auditoría Interna

Por: Equipo Auditool

Guía práctica para vincular objetivos estratégicos con riesgos y KPIs

En muchas organizaciones, la gestión del riesgo y la planificación estratégica viven en mundos paralelos. Los objetivos se definen en un documento; los riesgos, en un registro aparte; y los indicadores, en un tablero que casi nadie consulta. El resultado: decisiones desconectadas, esfuerzos dispersos y auditorías que descubren que lo que se ejecuta no coincide con lo que se declaró.
Este artículo propone una solución visual y práctica: construir un Mapa de Objetivos Integrado, una herramienta que permite ver en una sola lámina la relación entre estrategia, riesgos y desempeño. Su finalidad es clara: ayudar a auditores y líderes a pensar de forma sistémica y anticipar desviaciones antes de que impacten los resultados.

🎯 ¿Por qué es crítico conectar objetivos, riesgos y desempeño?

El Marco COSO ERM 2017 insiste en un principio fundamental: la gestión del riesgo debe integrarse con la formulación de objetivos y la evaluación del desempeño.
Cuando esta integración falla, aparecen problemas típicos:

• Objetivos que no consideran riesgos clave.

• Procesos que operan “en automático” sin medir resultados.

• Indicadores que existen solo para cumplir un requisito.

• Auditores que identifican riesgos que no están alineados con lo que la organización busca lograr.

El mapa de objetivos convierte un conjunto aislado de documentos en un sistema vivo de gestión, donde cada elemento tiene un propósito claro y visible.

🧱 Los tres pilares del Mapa de Objetivos

1. Objetivos estratégicos claros y medibles

Antes de mapear riesgos o indicadores, la organización debe tener claridad en tres niveles de objetivos:

• Estratégicos: alto nivel, largo plazo, orientados a resultados globales.

• Tácticos: logran avances intermedios dentro de las unidades.

• Operativos: acciones concretas del día a día.

El auditor debe validar que estos objetivos estén definidos con criterios SMART o equivalentes: medibles, realistas y con plazos.

2. Riesgos asociados a cada objetivo

Para cada objetivo estratégico, se deben identificar riesgos que puedan:

• impedir su logro (riesgos negativos);

• acelerar o potenciar su cumplimiento (riesgos positivos u oportunidades).

El auditor debe evaluar si la organización:

• identificó los riesgos correctos;

• los clasificó adecuadamente;

• estableció responsables;

• definió controles coherentes con la naturaleza del riesgo.

3. KPIs y KRIs que midan avance y alerta

Una buena práctica es diferenciar dos tipos de indicadores:

• KPIs (Key Performance Indicators): miden el avance hacia el objetivo.

• KRIs (Key Risk Indicators): anticipan cambios en el nivel de riesgo.

Ejemplo:

Esta estructura le permite al auditor evaluar la coherencia del sistema de medición.

🗺️ Cómo construir un Mapa de Objetivos integrando riesgos y desempeño

A continuación, una guía práctica de seis pasos que puedes aplicar en auditorías o proyectos de gestión de riesgo:

Paso 1: Recolectar los objetivos estratégicos oficiales

Usa documentos como:

• Plan estratégico

• Balanced Scorecard

• Presupuesto anual

• Informes del Directorio

Verifica consistencia entre ellos.

Paso 2: Clasificar los objetivos por nivel (estratégico, táctico, operativo)

Esto facilitará la visualización del mapa y el análisis de riesgos por capas.

Paso 3: Identificar los riesgos asociados a cada objetivo

Importante:

• No identificar riesgos primero y luego buscar a qué objetivo pertenecen (error común).

• Partir del objetivo y preguntarse:
  “¿Qué podría impedir o potenciar su cumplimiento?”

Paso 4: Determinar controles, dueños del riesgo y supuestos críticos

Los supuestos son especialmente valiosos para auditores:
Si un supuesto cambia (ej. tipo de cambio, regulaciones), el riesgo se materializa.

Paso 5: Definir KPIs y KRIs

Para cada objetivo:

• Mínimo 1 KPI

• Mínimo 1 KRI

• Ambos con metas, umbrales, frecuencia y dueño del indicador.

Paso 6: Convertir todo en un mapa visual

Te sugiero usar un formato como este (adaptado a Auditool):

El mapa puede representarse en columnas o nodos interconectados.
Mientras más sencillo y visual, mayor impacto.

🧠 Qué puede evaluar un auditor usando este mapa

1. Coherencia estratégica:
   Si los riesgos identificados realmente afectan los objetivos.

2. Madurez del desempeño:
   Si los KPIs miden lo que importa (no solo lo disponible).

3. Alertas tempranas reales:
   Si los KRIs anticipan situaciones críticas antes de que se traduzcan en fallas.

4. Eficacia del control interno:
   Si los controles se alinean con los riesgos y no con formalidades.

5. Gobernanza del riesgo:
   Si el mapa es usado por la gerencia o solo por Auditoría.

🔍 Ejemplo aplicado: Objetivo, riesgo, control e indicador

Objetivo estratégico: Reducir tiempos de respuesta al cliente.
Riesgo asociado: Fallos tecnológicos en la plataforma de servicio.
KPI: Tiempo promedio de atención por caso.
KRI: Disponibilidad mensual del sistema (% uptimes).
Control: Monitoreo automatizado y pruebas QA semanales.

Este ejemplo permite observar cómo se integran los elementos en un solo flujo lógico.