Auditoría Interna

Por: CP Iván Rodríguez. Colaborador de Auditool. 

Hoy día la reputación corporativa se ha consolidado como un activo intangible crítico, capaz de generar ventajas competitivas o, por el contrario, desencadenar crisis que comprometan la sostenibilidad de una organización puesto que el entorno empresarial está cada vez más interconectado y expuesto al escrutinio público. Recientemente, en abril de 2025, el Instituto de Auditores Internos de España publicó un documento denominado “Auditoría Interna del riesgo reputacional^[1]”, el cual ofrece un enfoque integral y estructurado para gestionar y auditar este riesgo, utilizando el marco COSO ERM 2017 como base. Se destaca la importancia estratégica de la reputación, los componentes clave de su gestión y el rol fundamental de la Auditoría Interna en este proceso.

La reputación corporativa más que un concepto abstracto, se ha constituido en un pilar fundamental para la creación y protección del valor empresarial. Según el documento citado, la reputación se compone de dos dimensiones complementarias:

• Emocional: Engloba la confianza, estima y admiración que los stakeholders —clientes, empleados, inversionistas, reguladores, entre otros— tienen hacia la organización. Esta dimensión es subjetiva, pero influye profundamente en la percepción pública.
• Racional: Se refiere al desempeño medible en áreas clave como la innovación, la calidad de los productos o servicios, la responsabilidad social corporativa y la gobernanza. Este componente se basa en hechos concretos que sustentan la percepción emocional.

El riesgo reputacional se entiende como la exposición a resultados inciertos derivados de eventos que afectan negativamente la percepción de los stakeholders. Este tipo de riesgo además de surgir de hechos objetivos está profundamente influenciado por la subjetividad de las percepciones. Puede originarse en:

• Factores internos: Errores de gestión, fallos operativos, conductas antiéticas o proveedores inadecuados.
• Factores externos: Críticas en medios de comunicación, campañas en redes sociales, fake news o cambios en las expectativas de los stakeholders.

Dada su naturaleza compleja, el riesgo reputacional no puede gestionarse de manera reactiva o aislada. Requiere un enfoque sistemático y en ese sentido, el documento del instituto de Auditores Internos de España propone un sistema de gestión del riesgo reputacional fundamentado en el marco COSO ERM 2017, que se estructura en cinco componentes esenciales. Este enfoque permite identificar y mitigar riesgos, así como alinear la percepción de los stakeholders con la realidad operativa de la organización.

• Gobierno y cultura: El liderazgo de la Alta Dirección es crucial para establecer un tono ético desde la cúspide de la organización. Esto incluye: La definición de políticas claras que promuevan una cultura organizacional basada en la transparencia, la integridad y la responsabilidad. Así mismo, la creación de un entorno donde los empleados y stakeholders comprendan la importancia de la reputación y actúen en consecuencia y la asignación de roles y responsabilidades específicas para la gestión del riesgo reputacional, asegurando que todas las áreas de la organización estén alineadas.
• Estrategia y objetivos: El riesgo reputacional debe integrarse en la planificación estratégica de la organización. Para ello se debe definir el apetito de riesgo reputacional, es decir, el nivel de exposición que la organización está dispuesta a aceptar. También establecer objetivos reputacionales medibles, como mejorar la percepción en áreas específicas (por ejemplo, sostenibilidad o innovación) y alinear las estrategias de negocio con los valores y expectativas de los stakeholders, asegurando que las decisiones estratégicas refuercen la reputación.
• Desempeño: La gestión efectiva del riesgo reputacional requiere un proceso estructurado para identificar, evaluar y priorizar riesgos, así: Uso de catálogos de riesgos reputacionales que consideren factores internos y externos, para identificar riesgos. La evaluación y priorización, mediante la aplicación de herramientas como mapas de calor para clasificar riesgos según su probabilidad e impacto y el desarrollo de planes de acción que alineen la percepción de los stakeholders con la realidad operativa, incluyendo estrategias de comunicación y mitigación, como respuesta.
• Evaluación y revisión: La monitorización continua es esencial para garantizar que el sistema de gestión del riesgo reputacional sea efectivo. Esto se logra mediante el uso de indicadores clave de riesgo (KRI) e indicadores clave de desempeño (KPI) para medir la exposición y el impacto reputacional, la revisión periódica de los procesos y políticas, incorporando lecciones aprendidas de eventos críticos, así como la adaptación del sistema a cambios en el entorno, tales como nuevas regulaciones, tendencias sociales o avances tecnológicos.
• Información y comunicación: Una comunicación efectiva es el pilar que une todos los componentes del sistema. Esto incluye reportes periódicos a los órganos de gobierno, como el Consejo de Administración, para garantizar la supervisión del riesgo reputacional, una comunicación bidireccional con los stakeholders, que permita escuchar sus preocupaciones y responder de manera proactiva y protocolos de crisis que definan cómo actuar ante eventos reputacionales, minimizando el impacto y recuperando la confianza.

Por su parte, la Auditoría Interna desempeña un papel crítico en la gestión del riesgo reputacional, proporcionando aseguramiento independiente y asesoramiento técnico. Sus funciones incluyen:

• Auditorías específicas: Evaluación del diseño y la efectividad del sistema de gestión del riesgo reputacional.
• Asesoramiento técnico: Apoyo en la implementación de sistemas, definición de indicadores y desarrollo de planes de respuesta.
• Revisión de eventos reputacionales: Análisis post-evento para identificar causas raíz y proponer mejoras.
• Integración en auditorías generales: Inclusión del riesgo reputacional en las auditorías de otros procesos, como la gestión de proveedores o la ciberseguridad.

El documento proporciona un programa de trabajo detallado, basado en los componentes de COSO ERM, que sirve como guía práctica para los auditores. De ahí la importancia del estudio y revisión del material de organismos profesionales, para su incorporación, en cuanto sea pertinente, en las metodologías de análisis y recomendaciones para integrar el riesgo reputacional en los planes de auditoría. En última instancia, la gestión efectiva del riesgo reputacional no es solo una cuestión de mitigación, sino una estrategia para construir confianza, fomentar la lealtad y asegurar el éxito a largo plazo. 

^[1] Ver: Auditoría interna del riesgo reputacional

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá DC, Colombia.