Control Interno

Por: Equipo Auditool

En el mundo de la auditoría y la gestión de riesgos, dos marcos han dominado la conversación sobre control interno: COSO 2013 y COSO ERM 2017. Aunque comparten una raíz común —el Comité de Organizaciones Patrocinadoras de la Comisión Treadway (COSO, por sus siglas en inglés)—, su enfoque, alcance y aplicación práctica son distintos. Este artículo te ayudará a comprender las diferencias clave y a determinar cuál utilizar según tus necesidades organizacionales.

🧱 ¿Qué es COSO 2013?

COSO 2013 es la actualización del Marco de Control Interno publicado originalmente en 1992. Fue diseñado para ayudar a las organizaciones a diseñar, implementar y mantener un sistema efectivo de control interno. Está estructurado en cinco componentes:

1. Ambiente de control

2. Evaluación de riesgos

3. Actividades de control

4. Información y comunicación

5. Supervisión

A su vez, estos se dividen en 17 principios fundamentales que deben estar presentes y funcionando para que el sistema de control sea considerado efectivo.

✦ Enfoque principal:

Garantizar la efectividad operativa, la confiabilidad de los informes financieros y el cumplimiento normativo.

🌐 ¿Qué es COSO ERM 2017?

COSO ERM 2017 (Enterprise Risk Management – Integrating with Strategy and Performance) representa una evolución significativa hacia la gestión de riesgos desde una perspectiva estratégica. Este marco va más allá del control interno para integrar el riesgo con la toma de decisiones estratégicas, el desempeño organizacional y la creación de valor.

Su estructura se basa en cinco componentes interrelacionados:

1. Gobernanza y cultura

2. Estrategia y establecimiento de objetivos

3. Identificación y evaluación de riesgos

4. Ejecución de estrategias

5. Desempeño y revisión

Incluye 20 principios organizados dentro de estos componentes y pone un énfasis especial en la alineación entre el riesgo y los objetivos estratégicos.

✦ Enfoque principal:

Integrar el riesgo empresarial en todos los niveles y decisiones clave para mejorar la resiliencia y la creación de valor.

⚖️ Comparación práctica

🧭 ¿Cuál debo usar y cuándo?

✅ Usa COSO 2013 cuando:

• Quieras evaluar la efectividad del sistema de control interno tradicional.

• Realices auditorías internas o externas enfocadas en procesos operativos, cumplimiento normativo o reportes financieros.

• Estés diseñando controles para procesos específicos o áreas de soporte.

✅ Usa COSO ERM 2017 cuando:

• Necesites alinear la gestión de riesgos con la estrategia organizacional.

• Estés desarrollando un modelo de gobierno corporativo integral.

• Participes en procesos de planificación estratégica, toma de decisiones o revisión del desempeño organizacional.

✅ ¿Y si combino ambos?

¡Es posible y recomendable! COSO 2013 puede usarse como base operativa para controlar procesos internos, mientras que COSO ERM 2017 sirve como marco macro para integrar la gestión de riesgos en la cultura, estrategia y liderazgo. Ambos marcos son complementarios.

📌 Reflexión final

Tanto COSO 2013 como COSO ERM 2017 son herramientas valiosas en la caja de recursos del auditor y del gestor de riesgos. Elegir cuál usar dependerá de tu objetivo: si necesitas fortalecer controles internos operativos o si buscas integrar el riesgo en el ADN estratégico de tu organización.

En cualquier caso, el conocimiento profundo de ambos marcos te permitirá no solo cumplir con las expectativas del entorno regulatorio, sino también agregar valor real a tu organización y a tus clientes.