Control Interno

Por: CP Iván Rodríguez. Colaborador de Auditool. 

En un entorno empresarial cada vez más regulado y complejo, uno de los desafíos que enfrentan las organizaciones y que se ha vuelto constante es el de cumplir con normativas legales, sectoriales y corporativas, mientras protegen su reputación, estabilidad operativa y sostenibilidad financiera. El incumplimiento normativo puede resultar en sanciones, pérdidas económicas, daño reputacional y pérdida de confianza de los stakeholders y por ello, es necesario abordar este riesgo de manera efectiva. Para el efecto, es esencial adoptar un enfoque que además de garantizar el cumplimiento, también anticipe vulnerabilidades y fortalezca la gobernanza institucional. De allí la importancia de identificar, evaluar y gestionar los riesgos de incumplimiento normativo, integrando análisis contextual, diseño de controles y monitoreo continuo mediante un enfoque práctico que promueva una cultura de prevención y toma de decisiones informadas. Algunos elementos que es conveniente tener en cuenta para lograr este enfoque y que deben ser considerados por los auditores en la ejecución de su trabajo, por medio de evaluaciones y recomendaciones, son:

Definición del alcance y objetivos

El primer paso para gestionar riesgos de incumplimiento normativo es delimitar el alcance del análisis. Esto implica identificar los procesos, ubicaciones o unidades organizativas que serán evaluados, asegurando que el esfuerzo sea manejable y enfocado. Además, es crucial determinar los marcos normativos aplicables, que incluyen leyes locales e internacionales, regulaciones sectoriales (como GDPR para protección de datos o SOX para finanzas) y políticas internas. Esta definición establece la base para un análisis estructurado y garantiza que los esfuerzos estén alineados con las obligaciones específicas de la organización. Esto puede lograrse con la creación de un documento inicial que detalle el alcance, los objetivos y los marcos normativos relevantes, validado por los equipos legales y de cumplimiento.

Análisis del contexto externo

Este paso implica evaluar el entorno legal-regulatorio, incluyendo cambios en leyes, regulaciones o estándares internacionales que puedan impactar a la organización. También se deben considerar la situación socioeconómica (por ejemplo, inestabilidad política o económica), las exigencias de stakeholders (como clientes, inversores o socios) y los riesgos tecnológicos o cibernéticos, como amenazas de ciberataques o nuevas normativas de ciberseguridad. Este análisis debe basarse en fuentes creíbles, como reportes regulatorios, inteligencia de mercado o asesoramiento legal. Para ello, es útil realizar un análisis PESTEL (Político, Económico, Social, Tecnológico, Ambiental, Legal) para estructurar la evaluación del contexto externo.

Evaluación del contexto interno

Es importante revisar la estructura organizativa, la cultura corporativa, las capacidades tecnológicas y el historial de sanciones o incumplimientos. Este análisis debe identificar fortalezas (como un equipo de cumplimiento robusto) y debilidades (como procesos manuales propensos a errores). También es importante revisar incidentes previos de incumplimiento para aprender de ellos y evitar su repetición. Una buena práctica es involucrar a líderes de diferentes departamentos para obtener una visión completa del contexto interno y garantizar que el análisis sea representativo.

Recopilación de datos críticos

Realizar auditorías internas, entrevistas con empleados clave, benchmarking con mejores prácticas de la industria y el uso de listas de verificación para evaluar el cumplimiento de normativas específicas contribuye a disponer de información pertinente. Los datos recopilados deben ser precisos, relevantes y actualizados, proporcionando una base sólida para identificar riesgos y diseñar controles.

Identificación de riesgos

Al emplear herramientas tales como lluvias de ideas, análisis FODA y mapeo de procesos críticos enfocadas en riesgos específicos relacionados con el incumplimiento normativo, se logra una apropiada identificación. Es conveniente su clasificación por categorías, por ejemplo legales, reputacionales, operativos, financieros, etc., lo cual facilita la priorización y el diseño de controles específicos para cada tipo de riesgo.

Evaluación de probabilidad e impacto

Cada riesgo identificado debe evaluarse en función de su probabilidad de ocurrencia (baja, media, alta) y su impacto (insignificante, moderado, crítico). Este análisis puede realizarse utilizando escalas numéricas o cualitativas, dependiendo de los recursos y la complejidad de la organización. Es importante basar las evaluaciones en datos históricos, tendencias de la industria y análisis de expertos para garantizar la objetividad. Una vez evaluados los riesgos, deben priorizarse en función de su probabilidad e impacto. Los riesgos con alta probabilidad e impacto crítico deben recibir la mayor atención, mientras que los de baja probabilidad e impacto insignificante pueden monitorearse sin acciones inmediatas. Esta priorización permite a la organización enfocar mejor sus recursos.

Diseño de controles preventivos

Con los riesgos priorizados, el siguiente paso es diseñar controles (prácticos, proporcionales al riesgo y alineados con los recursos disponibles) para mitigarlos. Estos pueden incluir:

• Protocolos de acción: Procedimientos claros para cumplir con normativas específicas.
• Sistemas de monitoreo: Herramientas tecnológicas para detectar desviaciones en tiempo real.
• Capacitaciones específicas: Programas para educar al personal sobre sus responsabilidades de cumplimiento.

Los controles preventivos (para evitar riesgos) pueden acompañarse con controles correctivos (para abordar incumplimientos) y de contingencia (para responder a incidentes).  

Documentación y comunicación

Es importante crear y mantener registros centralizados de riesgos, informes ejecutivos con mapas de calor y protocolos de comunicación para informar a los stakeholders. Los informes deben ser claros, visuales y accesibles, evitando vocabulario técnico que pueda dificultar su comprensión.

Este conjunto de acciones que forman un sistema de cumplimiento debe ser dinámico, adaptándose a los cambios en el entorno normativo, tecnológico o estratégico. Esto implica establecer revisiones regulares del entorno normativo, actualizaciones de las matrices de riesgo y auditorías aleatorias para evaluar la eficacia de los controles.

Como se aprecia, es posible contar con un enfoque integral y práctico para gestionar los riesgos de incumplimiento normativo. Al integrar el análisis contextual, la evaluación estructurada de riesgos, el diseño de controles efectivos y el monitoreo continuo, las organizaciones además de cumplir con las normativas, pueden anticiparse a vulnerabilidades y fortalecer su gobernanza. Así se fomenta una cultura de prevención, se reduce la exposición a sanciones y se promueven decisiones más informadas y sostenibles. 

CP Iván Rodríguez - CIE AF

Auditor y consultor, diplomado en Alta Gerencia de Seguros y Derecho de Seguros. Especialista en Dirección Financiera y Desarrollo Organizacional, diplomado en Gerencia de la Calidad. Contador público (CP) de la Pontificia Universidad Javeriana con 20 años de experiencia en diversas empresas. Tiene amplia experiencia en la elaboración y ejecución de auditorías y revisorías fiscales. Dirección y ejecución de asesorías, consultorías y capacitaciones. Colaborador de Auditool.

Bogotá DC, Colombia.