COSO es el marco de referencia más extendido internacionalmente para diseñar y evaluar el control interno. Lo desarrolló el Committee of Sponsoring Organizations of the Treadway Commission y es la base que utilizan auditores y reguladores en buena parte del mundo.
Aunque nació en el ámbito corporativo, su lógica es perfectamente aplicable a una empresa mediana.
Los cinco componentes
1. Ambiente de control
Es la base sobre la que se apoya todo lo demás: la cultura, los valores y el ejemplo que da la dirección.
De poco sirve un manual de procedimientos si el dueño es el primero que saca dinero de caja sin documentar, contrata a un familiar sin proceso de selección o presiona al contador para que «acomode» una cifra. El personal replica lo que ve, no lo que lee.
En la práctica: definir por escrito qué se espera, aplicarlo también a la dirección, y actuar con consecuencias cuando se incumple.
2. Evaluación de riesgos
Identificar qué puede salir mal en cada proceso, con qué probabilidad y con qué impacto.
En la práctica: para cada proceso donde se mueve dinero o mercadería, hacer tres preguntas:
- ¿Qué podría salir mal aquí?
- ¿Cuánto costaría si pasa?
- ¿Qué tan probable es?
Los riesgos de impacto alto y probabilidad alta se atienden primero. No todos los riesgos merecen un control: un control que cuesta más que la pérdida que evita no tiene sentido.
3. Actividades de control
Los procedimientos concretos que responden a los riesgos identificados. Se clasifican en:
- Preventivos: evitan que el problema ocurra. Autorización previa, doble firma, accesos restringidos, separación de funciones.
- Detectivos: descubren que el problema ocurrió. Conciliaciones, arqueos, inventarios físicos, revisiones analíticas.
Un buen sistema combina los dos. Con solo controles preventivos, lo que se escapa pasa inadvertido; con solo detectivos, la respuesta siempre llega tarde.
4. Información y comunicación
Que la información relevante llegue a quien tiene que decidir, en el momento en que puede decidir.
En la práctica:
- Reportes de gestión mensuales, no solo estados financieros anuales.
- Que el personal sepa a quién reportar una irregularidad.
- Un canal para reportar de forma reservada. En empresas medianas, que sea directamente al dueño.
- Procedimientos escritos y accesibles, no en la cabeza de una persona.
5. Supervisión
Verificar periódicamente que los controles se estén aplicando y sigan siendo adecuados.
Este es el componente que más se descuida. Se diseñan controles, se aplican unos meses y luego se dejan de hacer sin que nadie lo note. Un control que nadie supervisa deja de existir en poco tiempo.
En la práctica: revisiones periódicas, arqueos sorpresa, y una revisión anual de si los controles siguen teniendo sentido después de que la empresa cambió.
Cómo aplicarlo sin generar burocracia
- Empiece por los procesos con dinero: caja, cobranzas, pagos, inventario, planilla.
- Dibuje el flujo de cada uno en una hoja: quién hace qué, en qué orden.
- Marque los puntos de riesgo y las concentraciones de funciones.
- Defina un control por cada riesgo importante, no por cada riesgo.
- Asigne un responsable y una frecuencia a cada control.
- Documente en una página por proceso. Los manuales de cien páginas rara vez se leen.
- Revise trimestralmente que se estén ejecutando.
El error de sobrediseñar
Aplicar a una empresa de 30 personas el sistema de control de una corporación produce dos resultados: se incumple, o paraliza la operación. En ambos casos el control real acaba siendo cero.
El criterio es la proporcionalidad: el costo del control debe ser menor que la pérdida esperada que evita.
Cómo saber si su control interno funciona
Conviene plantearse estas preguntas:
- ¿Podría una sola persona sacar dinero de la empresa sin que nadie lo detecte?
- ¿Sabría si falta mercadería del almacén?
- ¿Alguien revisa la conciliación bancaria además de quien la prepara?
- ¿Los controles que definió hace un año se siguen ejecutando?
- ¿Qué pasaría si la persona clave de administración renunciara mañana?
Si alguna respuesta le genera inquietud, ese es el punto de partida.
Si desea orientación sobre el caso de su empresa, nuestro equipo de auditoría interna y operativa puede ayudarle.
