Control Interno

Por: CP Iván Rodríguez. Colaborador de Auditool 

Actualmente la sostenibilidad se ha convertido en un pilar fundamental para la estrategia empresarial; por ello, la gestión de datos relacionados con aspectos ambientales, sociales y de gobernanza (ESG, por sus siglas en inglés) representa tanto una oportunidad como un desafío crítico. En un informe denominado "Internal Control over Sustainability Data", elaborado por la Asociación de Contadores Públicos Certificados (ACCA) y la Fundación de Auditoría Interna (Internal Audit Foundation) en 2025^[1], aborda precisamente este.tema Basado en más de 900 encuestas y mesas redondas internacionales, el documento examina el nivel de madurez en la implementación de controles internos sobre estos datos, destacando sus desafíos y ofreciendo recomendaciones prácticas para mejorar la confiabilidad, trazabilidad y gobernanza. La premisa central del informe es que la sostenibilidad no es solo un tema de cumplimiento regulatorio, sino un eje estratégico que implica riesgos significativos para las organizaciones.

El planteamiento que subyace en el documento es que los datos ESG deben ser tratados con el mismo rigor que los datos financieros tradicionales, pero adaptando los enfoques de control interno a su naturaleza única: heterogénea, menos estructurada y a menudo proveniente de fuentes externas. El informe identifica tres conclusiones principales que sirven como pilares para entender y mejorar el control interno sobre datos de sostenibilidad. En primer lugar, los conceptos tradicionales de control interno deben evolucionar. A diferencia de los datos financieros, que suelen ser estructurados y generados internamente, los datos ESG son más variados y provienen frecuentemente de terceros, como proveedores o cadenas de suministro. Esto requiere un rediseño de los controles para abordar la complejidad inherente, incorporando mecanismos que garanticen la integridad en entornos no convencionales. En segundo lugar, el éxito del control interno depende de un alineamiento estratégico profundo. No basta con implementar controles aislados; estos deben integrarse en la estrategia general de la empresa. Esto implica definir indicadores clave de rendimiento (KPIs) claros para los objetivos ESG y asegurar una supervisión desde el nivel más alto de la organización, como la junta directiva. Sin este alineamiento, los esfuerzos en sostenibilidad corren el riesgo de ser superficiales y poco efectivos. Finalmente la propiedad del dato es un elemento esencial. Las organizaciones necesitan asignar responsables claros (data owners) para cada conjunto de datos ESG, fomentar una cultura de control interno y desarrollar competencias técnicas adecuadas. Sin dueños definidos, los datos pueden volverse fragmentados y poco confiables, lo que socava la credibilidad de los reportes de sostenibilidad. Estos mensajes subrayan que el control interno no es un simple ejercicio técnico, sino una cuestión de gobernanza que impacta directamente en la reputación y el desempeño empresarial.

Uno de los riesgos más destacados en el informe es la "confianza inadvertida" en datos de sostenibilidad que carecen de robustez. Las empresas a menudo asumen que estos datos son precisos sin verificar su calidad, lo que puede llevar a decisiones erróneas, sanciones regulatorias o daños reputacionales. Entre los desafíos más relevantes identificados por los encuestados se encuentran:

• Baja calidad y fragmentación de datos: Los datos ESG suelen estar dispersos en diferentes sistemas o departamentos, lo que complica su consolidación y análisis.
• Procesos poco documentados: La falta de documentación clara sobre cómo se recopilan, procesan y reportan estos datos aumenta el riesgo de errores y inconsistencias.
• Escasez de talento especializado: Hay una deficiencia en profesionales capacitados para manejar datos no financieros, lo que limita la capacidad de implementar controles efectivos.
• Falta de integración con la gestión de riesgos: Los riesgos ESG no siempre se incorporan al marco general de Enterprise Risk Management (ERM), lo que los deja aislados.
• Cultura organizacional inadecuada: En muchas empresas, la sostenibilidad se ve como un simple requisito de cumplimiento, en lugar de una prioridad estratégica, lo que reduce el compromiso en controles internos.

Estos riesgos no son aislados; se interconectan y amplifican mutuamente, destacando la necesidad de un enfoque holístico o amplio para mitigarlos.

El informe precitado se apoya basa en el marco COSO para proporcionar una base sólida a sus recomendaciones, incluyendo su guía específica para el reporte de sostenibilidad (ICSR). Este marco enfatiza cinco componentes clave: entorno de control, evaluación de riesgos, actividades de control, información y comunicación, y monitoreo.

El control interno sobre datos ESG debe integrarse plenamente en el sistema global de gobernanza y gestión de riesgos de la organización. Esto asegura que los controles sean coherentes y alineados con los objetivos empresariales generales. A pesar de que los encuestados reconocen la importancia de implementar controles internos robustos sobre datos de sostenibilidad, la realidad muestra una brecha significativa. Menos de un tercio de las organizaciones percibe que sus controles actuales son "altamente adecuados". Esta discrepancia entre la ambición declarada y la madurez real se debe a factores como la subestimación de la complejidad de los datos ESG, la falta de recursos y la resistencia al cambio cultural. Para cerrar esta brecha, el informe propone un plan de acción estructurado en tres niveles: estratégico, operativo y tecnológico.

• Nivel Estratégico: Integrar objetivos ESG en la estrategia corporativa general, asignar responsabilidades claras a nivel de junta directiva y alta dirección y realizar análisis de materialidad robustos para identificar los temas ESG más relevantes, así se pueden incorporar los riesgos ESG en el marco de ERM.
• Nivel Operativo: Evaluar la calidad actual de los datos ESG. Esto implica definir data owners para cada flujo de datos, documentar procesos de recopilación y reporte e Implementar una mezcla de controles preventivos (para evitar errores), detectivos (para identificar problemas) y correctivos (para resolverlos).
• Nivel Tecnológico: Automatizar la captura y procesamiento de datos para reducir errores manuales, integrar sistemas ESG con plataformas ERP existentes, aplicar controles generales de TI, como accesos restringidos y auditorías de sistemas y reducir la dependencia de hojas de cálculo no controladas, optando por herramientas más seguras y escalables.

Estas recomendaciones son prácticas y escalables, permitiendo a las organizaciones avanzar paso a paso hacia una mayor madurez.

Ahora bien, la auditoría juega un rol importante en esta transformación. El informe recomienda que incorpore riesgos ESG en su plan anual de auditorías, actuando inicialmente como asesor estratégico para ayudar a la organización a madurar sus controles. Además, debe evaluar la preparación para el aseguramiento externo, como auditorías independientes requeridas por las regulaciones aplicables. Para el efecto, los auditores necesitan fortalecer sus competencias en datos no financieros, incluyendo análisis de datos, comprensión de métricas ESG y herramientas digitales. De esta manera su rol evoluciona de una verificación a un acompañamiento estratégico, posicionando a la auditoría como un habilitador clave de la sostenibilidad. 

^[1] Ver: Internal control over sustainability data

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá DC, Colombia.