Control Interno

El Control Interno es un proceso llevado a cabo por el Consejo de Administración, el Comité de Administración de Riesgos, la Unidad de Riesgos y el resto del personal de la organización, diseñado para proporcionar una garantía razonable sobre el logro de objetivos relacionados con operaciones, reporte y cumplimiento.

Dentro del proceso de la implementación de la gestión de riesgos en las empresas, es fundamental establecer un manual de administración de riesgos que recoja exactamente los requerimientos concretos exigidos (informes, listados, normas, procesos, …), lo que exigiría a la Entidad un esfuerzo en la implementación y un coste continuado en el mantenimiento, así como el establecimiento de una norma abierta que contuviese principios generales sobre lo que es el control interno y la medición de los riesgos, dejando a la propia entidad la capacidad de desarrollo interno según sus propias estrategias, con la ventaja de poder utilizar parte de la estructura actual, pero con la desventaja de no tener medidos de manera clara e inequívoca los requerimientos mínimos de control exigidos.

• La unidad de riesgos debería estar formada por una o más personas no implicadas en las funciones operativas y comerciales de la entidad.
• La unidad de riesgos se responsabilizará de supervisar el cumplimiento de las normas que se están analizando y estudiando por el órgano supervisor, y para ello efectuará una revisión permanente de los procedimientos y sistemas relativos al control interno contable y al seguimiento y gestión de riesgos y reclamaciones, con el fin de evaluar el cumplimiento de todas las medidas y límites establecidos y verificar su validez, proponiendo las modificaciones que considere necesarias, denunciando las ineficiencias observadas e informando puntualmente al Consejo de Administración o Directorio der la Entidad.

Estas funciones o autorizaciones nunca recaerán en empleados o responsables de las áreas de los departamentos de la entidad.

Uno de los resultados obligatorios de la implementación de sistemas de evaluación y gestión de riesgos es la determinación de políticas de asunción de riesgos, las cuales deben contemplar límites a la exposición de los riesgos, que deben ir asociados con la definición constante en su estrategia, para cada área de la entidad. Estas políticas deben ser adoptadas por el Consejo de Administración o Directorio de la entidad y la gerencia, y constar por escrito y ser incorporadas en los manuales de administración de riesgos.

Los límites operativos que establecerán las entidades consistirán en autorizaciones previas al proceso para la asunción de todos los riesgos de la entidad, así como:

• Procedimientos a seguir en caso de superación o incumplimiento de los límites establecidos.
• Cuando se haya previsto realizar operaciones que excedan los límites establecidos, dichas operaciones deberán estar documentadas y contar con la autorización previa del Consejo de Administración o del gerente de riesgos, a quien se le ha delegado dicha competencia.
• Implementar los sistemas de control necesarios para evitar que los excesos sobre los límites establecidos se repitan de manera sistemática o injustificada.
• La Unidad de Control de riesgos deberá asegurarse de que las operaciones se hacen teniendo en cuenta la mejor situación para el cliente y que hayan sido informados de los riesgos reales o potenciales que asumen, con el detalle necesario para que puedan formarse una opinión fundada, y que se ha recabado su autorización expresa antes de realizar por su cuenta cualquiera de las operaciones anteriores.

Sin embargo, la realización de ciertas funciones o tareas que incorporen mayor riesgo operativo pueden ser realizadas desde la organización, siempre y cuando quede asegurada la segregación entre dichas funciones, o bien pueden asignarse ciertas tareas de personal externo perteneciente a otras entidades del grupo o terceras empresas especializadas en administración y consultoría. Si se opta por esta última solución, el Consejo de Administración debe asegurarse de la profesionalidad, capacidad y experiencia de los terceros, y hacer extensivos a los servicios subcontratados los procedimientos y controles establecidos en la organización o, en su caso, desarrollados con carácter específico.

La empresa debe asegurarse de que los recursos humanos sean suficientes y adecuados para:

• La consecución de una eficiente y eficaz gestión del negocio y de los riesgos asumidos.
• El control de las operaciones realizadas y su registro contable.
• Los contrastes sobre los criterios de valoración del patrimonio de la entidad y las provisiones técnicas.
• La adecuada gestión.

Para asegurar la formación técnica y profesionalidad de su personal las entidades deben establecer planes de formación y evaluación continuada, sobre todo:

• Para los que realizan funciones comerciales.
• Para los que gestionan y miden riesgos.
• Para los que desarrollan actividades cuya complejidad y constante evolución requiere una permanente actualización.

Todo ello, con una definición clara de los requisitos mínimos de formación y experiencia exigibles a empleados y directivos para el desempeño de las tareas y responsabilidades encomendadas.

En resumen, se complementará con los soportes informáticos y los medios materiales necesarios para llevar a cabo las tareas de administración, gestión de reclamaciones, control y registro contable de las operaciones que se realicen, con garantías suficientes de seguridad y capacidad.

Asimismo, deberá mantenerse un sistema de archivo que contenga la documentación soporte de todas las operaciones contabilizadas y de clientes, proveedores y reclamantes, que permita la localización de documentos en un periodo de tiempo razonable.

Por otro lado, las entidades deben conocer adecuadamente y a tiempo los riesgos que están asumiendo, para poder evaluar su capacidad de absorber las pérdidas que eventualmente pueda ocasionarles su actividad. Esto supondrá que los sistemas de información para la gestión estarán orientados hacia la evaluación de riesgos y la toma de decisiones, en concordancia con los planes y objetivos fijados por el Consejo de Administración y debiendo implementar los controles necesarios para asegurar la autenticidad y veracidad de la información que es manejada por el Consejo de Administración y por los distintos niveles jerárquicos.

En especial, se tendrán en cuenta los resultados de los contrastes sobre provisiones contables realizados en cada ejercicio sobre los importes estimados del ejercicio anterior, adoptando las decisiones que sean necesarias para que las valoraciones al cierre del ejercicio consideren las desviaciones producidas.

Los sistemas de generación de información contable y de gestión de riesgos deberán proporcionar una visión precisa y completa de la situación financiera y patrimonial de las entidades sujetas y contar con la documentación soporte necesario para el correcto proceso administrativo de las operaciones.

Deberá establecerse un sistema eficaz y eficiente de comunicaciones internas y externas que asegure que la información relevante para la gestión y el control de riesgos llegan a todos los responsables, así como los procedimientos a seguir antes de operar en nuevos productos o servicios.

Las entidades deben tener la capacidad de realizar periódicamente una medición y seguimiento de todos sus riesgos potenciales, siendo capaces de efectuar valoraciones a precio de mercado y poder realizar los oportunos contrastes sobre las hipótesis financieras y económicas que, en su caso, determinarán una modificación de los procedimientos de valoración de los compromisos de la entidad.

El manual de Administración de Riesgos tendrá que ser descriptivo y exigir el análisis de los principales riesgos, a través del estudio del grado de exposición específico de la entidad a los mismos, y mediante un control sistemático de los límites que se marquen como tolerables, los cuales podrían estar en relación con el resto de factores aplicados a la solvencia de la entidad. Para ello:

• Se deberá contar con algún sistema de medición y control de riesgos financieros en base a duraciones, sensibilidades o modelos estadísticos internos de valoración de pérdidas potenciales.
• Periódicamente deberán realizarse simulaciones de escenarios específicos de crisis y plan de continuidad de negocio para analizar los eventuales efectos que pudieran derivarse sobre la solvencia y cobertura de los compromisos de las entidades.
• Se deberán realizar revisiones de riesgos de forma sistemática, por personal distinto al que identificó los riesgos, contrastándose con información de fuentes externas a la entidad.
• Deberá quedar evidencia documental de la realización de conciliaciones. Un responsable distinto a quien efectuó la conciliación verificará el cumplimiento periódico de dicho procedimiento, evaluando las partidas conciliatorias y las diferencias registradas y emitiendo un informe sobre las incidencias más significativas.
• La periodicidad en la realización de las revisiones será fijada por la unidad de control en función de las necesidades de las entidades sujetas y la importancia de los riesgos.
• La realización de las revisiones y controles deberá ser previa a la remisión de los resultados al organismo de control, debiendo comunicarse de inmediato las incidencias más importantes derivadas de dichos riesgos.
• Establecer criterios objetivos para el registro de las participaciones significativas y sus incidencias y hacer revisiones periódicas para asegurarse de su correcta contabilización y valoración.
• Seguimiento de las participaciones y la estructura de la entidad y verificar la información suministrada sobre la variación en los porcentajes de participación y sobre la existencia de vinculaciones no accionariales.
• Tomar las medidas adecuadas para disponer de una información pormenorizada de los riesgos correspondientes a los canales de distribución, sucursales, reclamantes y otros terceros.
• Procedimientos adecuados para implementar los procedimientos y controles adecuados para evitar que se produzcan quebrantos derivados de riesgos legales, reputacionales y operacionales o la realización de actividades fraudulentas en sus relaciones con los clientes, proveedores, sucursales y cualquier tercero.
• Desarrollar e implementar procedimientos formales de autorización, control y seguimiento de límites de operaciones y otros saldos deudores, otros canales de distribución, así como para la clasificación de saldos como morosos, dudosos o fallidos, atendiendo a las estimaciones y cumplimiento del calendario de dotaciones que les sea de aplicación, contando con expedientes individualizados que contengan toda la documentación relativa a su entidad, contratos firmados y otras informaciones necesarias, además de otros datos sobre su capacidad financiera.
• Establecer procedimientos para la salvaguarda de estos expedientes, así como para su permanente actualización.
• Contrastar toda la información, periódicamente, para que esté de acuerdo con los criterios establecidos en la normativa aplicable a las entidades.
• De operar a través de sucursales se deberán dotar de los medios necesarios para el adecuado desarrollo de su actividad.
• Las sucursales u oficinas deberán estar integradas en los procedimientos de control interno establecidos. En particular, los procedimientos deberán asegurar la revisión y control permanece de sus saldos.En el contenido del informe anual deben constar los principales resultados del sistema de evaluación y gestión de riesgos, riesgos identificados como relevantes, las mediciones realizadas y la estrategia establecida para administrarlos. El informe además incluirá el pronunciamiento del Comité de Administración integral de riesgos sobre el cumplimiento de los lineamientos definidos para la administración de los diferentes riesgos asumidos.

Mediante el informe, el Consejo de Administración de la Entidad dejará constancia del cumplimiento de lo dispuesto en materia de control interno, con las particularidades y precisiones que a continuación se detallan:

• Eficacia y eficiencia del sistema de control interno.
• Fiabilidad e integridad de la información.
• Análisis y gestión de riesgos.
• Cumplimiento normativo.

Los objetivos de las operaciones, reportes y cumplimiento que recogerá el informe abarcarán:

Objetivos de operaciones

• Relacionados con la misión y visión de la entidad.
• Varían en función de las decisiones de la conducción relacionadas con el modelo de operaciones, consideraciones del sector y rendimiento.
• Se abren en sub-objetivos para los distintos componentes de la estructura de la entidad.
• Incluyen el resguardo de activos.

Objetivos de reporte

• Reportes financieros externos
  - Estados Contables
  - Cuenta de Inversión
• Reportes no financieros externos
  - Reportes de sustentabilidad
  - Información al público
• Reportes internos financieros y no financieros
  - Ejecución presupuestaria
  - Informes sobre nivel de actividades

Objetivos de Cumplimiento

• Objetivos relacionados con el cumplimiento de leyes y regulaciones.
• El cumplimiento de políticas y procedimientos de la entidad, a los efectos del marco, corresponde a objetivos de operación.

Las limitaciones que se obtienen del Control Interno son:

• Establecimiento de adecuados objetivos, como precondición para el control interno.
• El juicio humano en la toma de decisiones puede ser equivocado o sujeto a parcialidades.
• Errores humanos.
• Posibilidad de anulación de controles por la gerencia.
• Posibilidad de burlar controles por la colusión entre distintos actores.
• Factores externos más allá del control de la entidad.

Las tareas y responsabilidades asignadas durante el proceso de gestión de riesgos deben abarcar al menos:

Responsables internos:

• Directorio y sus comités
• Alta gerencia
• Funciones de soporte
• Personal de áreas de control y riesgo
• Personal de áreas jurídicas y cumplimiento
• Otro personal
• Auditores Internos

Servicios externalizados:

• Proveedores de servicios
• Otros que interactúan con la entidad
• Auditores externos
• Revisores externos
• Legisladores y reguladores
• Analistas financieros
• Prensa

  Isabel Casares San José-Marti

Economista. Actuaria de seguros. Asesora Actuarial y de Riesgos.

Fundadora y Presidenta de CASARES Asesoría Actuarial y de Riesgos, S.L. http://www.mcasares.es/

Licenciada en Ciencias Económicas y Empresariales por la Universidad Autónoma de Madrid. Rama Ciencias Económicas (1988). Licenciada en Ciencias Económicas y Empresariales por la Universidad Complutense de Madrid. Rama Ciencias Actuariales y Financieras (1990). Título profesional de Actuario de Seguros por el Ministerio de Educación y Ciencia de Madrid (1990). Doctorado en Economía Financiera y Actuarial por la Universidad Complutense de Madrid (1997). Título Profesional de Actuario de Fondos de Pensiones por el Ministerio de Economía (Dirección General de Seguros y Fondos de Pensiones). Diploma de Mediador de Seguros Titulado por el Ministerio de Economía (Dirección General de Seguros y Fondos de Pensiones). Perito judicial actuarial. Colaborador de Auditool

Madrid, España