Control Interno

Por: Equipo Auditool

Copiar controles sin contexto puede generar caos normativo, sobrecarga operativa y falsa seguridad. ¿Estás auditando un monstruo ensamblado?

🧠 Introducción: El monstruo bien intencionado

En la célebre novela de Mary Shelley, el Dr. Frankenstein, con intenciones nobles, construye una criatura poderosa ensamblando partes de distintos cuerpos. El resultado: un ser inestable, fuera de control y temido por su entorno.

Algo similar ocurre en muchas organizaciones cuando, por cumplir con múltiples exigencias regulatorias o estándares de “mejores prácticas”, construyen su sistema de control interno como un mosaico de piezas tomadas de distintas fuentes: COSO, ISO, leyes locales, normativas sectoriales, recomendaciones de consultores…
El resultado no siempre es armonioso. A veces, es un monstruo operativo que genera más confusión que protección.

🔍 ¿Cómo se crea un control Frankenstein?

Este tipo de controles emergen cuando las organizaciones:

• Copian sin adaptar. Se implementan controles textualmente desde una norma, sin considerar el contexto ni la cultura organizacional.

• Acumulan sin depurar. Se agregan nuevos mecanismos sin eliminar los obsoletos o redundantes.

• Diseñan sin visión sistémica. Se implementan piezas individuales sin pensar en la arquitectura completa del sistema de control.

• Se guían por la presión externa. Se prioriza “cumplir” con auditores, reguladores o consultores sin entender realmente el propósito de cada control.

⚠️ Los riesgos del monstruo normativo

1. Incoherencia y conflicto entre marcos

Ejemplo: COSO promueve una visión integral basada en componentes y principios de control. ISO 27001 exige una gestión del riesgo en seguridad de la información con un enfoque basado en cláusulas documentadas. Si se aplican en paralelo sin integración, es común ver duplicidades en los procesos de gestión de incidentes, pero con criterios distintos de trazabilidad, autoridad y documentación.

2. Controles redundantes o contradictorios

Implementar tres controles distintos para un mismo riesgo no aumenta la seguridad; puede disminuirla al generar confusión, tiempos muertos o responsabilidad difusa.

3. Carga operativa excesiva

El exceso de controles innecesarios ralentiza la operación, agota al personal y puede generar resistencia pasiva o checklist fatigue: cumplir el formulario sin convicción ni conciencia.

4. Falsa sensación de control

Tener muchos controles no equivale a tener un sistema de control efectivo. Peor aún: esta ilusión de protección puede evitar que se detecten fallas reales.

🛠️ Diagnóstico: ¿Estás frente a un control Frankenstein?

Utiliza este breve autodiagnóstico:

Si marcaste “sí” en más de dos preguntas, probablemente estés ante un control Frankenstein.

🧩 ¿Cómo evitar crear monstruos normativos?

✅ 1. Entender el propósito real de cada control

Antes de implementar cualquier mecanismo, pregúntate:

• ¿Qué riesgo específico busca mitigar?

• ¿Este control es el más adecuado para nuestro contexto?

• ¿Ya existe un mecanismo que cumpla esta función?

✅ 2. Diseñar una arquitectura de control integrada

No pienses en controles como ítems individuales, sino como parte de un sistema. Utiliza mapas de control o matrices de cobertura de riesgos para identificar redundancias y vacíos.

Herramientas sugeridas:

• Matriz de trazabilidad riesgo-control.

• Mapa visual de controles por proceso.

• Evaluación cruzada de marcos normativos (ISO vs COSO vs marco regulatorio local).

✅ 3. Eliminar y depurar periódicamente

Cada control tiene un costo. Un sistema maduro debe incluir una revisión periódica para retirar controles obsoletos o ineficientes y rediseñar los que pierden vigencia.

✅ 4. Adaptar, no copiar

Inspirarse en buenas prácticas está bien. Pero no reemplaza el análisis interno. Adapta el lenguaje, el mecanismo y el nivel de formalidad a tu realidad operativa.

✅ 5. Revisar el sistema como un organismo vivo

El entorno cambia, los riesgos evolucionan y la tecnología avanza. Tu sistema de control debe estar vivo, ser flexible y aprender del entorno.

🎯 Conclusión: El mayor riesgo es controlar sin conciencia

Los controles Frankenstein no son el resultado de incompetencia, sino de automatismo, improvisación y presión por cumplir. El problema no es la buena intención, sino la falta de integración, propósito y evaluación.

En auditoría y gestión del riesgo, más no siempre es mejor.
Mejor es mejor.