Implementar un sistema de control interno no consiste en acumular políticas y autorizaciones. Su objetivo es reducir riesgos, generar información confiable y mejorar la operación sin convertir los procesos en una cadena innecesaria de revisiones.
¿Qué es el control interno?
El control interno es un proceso continuo que involucra a las personas de una organización y busca proporcionar seguridad razonable respecto al cumplimiento de sus objetivos.
El marco COSO de Control Interno es una de las referencias internacionales más utilizadas para diseñar y evaluar estos sistemas. COSO establece cinco componentes relacionados entre sí: ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, y actividades de supervisión.
Esto significa que control interno no es solamente revisar facturas, pedir autorizaciones o realizar auditorías. Forma parte de la manera en que una organización trabaja y toma decisiones.
Sus principales objetivos pueden resumirse en tres:
- Mejorar la eficacia y eficiencia de las operaciones.
- Generar información confiable y oportuna.
- Favorecer el cumplimiento de leyes, regulaciones y políticas.
¿Por qué una empresa necesita controles internos?
Porque los errores y fraudes pueden permanecer ocultos durante meses.
El Report to the Nations 2024 de la ACFE señala que los especialistas encuestados estiman que las organizaciones pierden alrededor del 5% de sus ingresos anuales por fraude, mientras que un caso típico tarda aproximadamente 12 meses en detectarse.
El mismo estudio encontró que más de la mitad de los fraudes analizados estuvieron relacionados con ausencia de controles internos o evasión de los controles existentes.
Por ello, el objetivo no debería ser crear controles para cada actividad, sino identificar dónde existe un riesgo relevante y qué control puede reducirlo sin afectar innecesariamente la operación.
¿Cómo implementar un sistema de control interno?
El material desarrollado en COFIDE propone un proceso de ocho fases. Una de sus principales ventajas es que no plantea la implementación como un proyecto que termina, sino como un ciclo de mejora continua.
1. Construye una cultura de control
Antes de diseñar formatos o políticas, las personas necesitan entender para qué existe el control.
Un error frecuente es presentar el control interno como vigilancia. En realidad, debe ayudar a proteger recursos, evitar errores y facilitar que los procesos funcionen correctamente.
La dirección también tiene una función esencial: si los líderes no respetan los controles, será difícil que el resto de la organización los tome en serio.
2. Recaba información sobre los procesos
El siguiente paso es entender cómo trabaja realmente la empresa.
Conviene revisar:
- Procedimientos.
- Políticas.
- Organigramas.
- Descripciones de puesto.
- Formatos.
- Sistemas utilizados.
- Controles que ya existen.
No basta con revisar lo que dicen los manuales. También es necesario observar cómo se ejecutan las actividades en la práctica.
3. Clasifica la información
Una vez levantada la información, debe organizarse por proceso, área y nivel de riesgo.
Esto permite diferenciar actividades críticas de otras de menor impacto.
Por ejemplo, no debería recibir la misma atención un proceso que puede generar una pérdida financiera relevante que una actividad administrativa de bajo riesgo.
Aquí existe una conexión directa con la administración de riesgos empresariales, ya que identificar y priorizar riesgos ayuda a decidir dónde deben concentrarse los controles.
4. Realiza un diagnóstico de control interno
El diagnóstico consiste en comparar lo que actualmente sucede contra lo que debería suceder.
En esta etapa pueden aparecer problemas como:
- Funciones concentradas en una sola persona.
- Procesos sin evidencia documental.
- Autorizaciones inexistentes.
- Revisiones que nunca se realizan.
- Información duplicada.
- Pasos que no agregan valor.
- Riesgos sin responsable.
El diagnóstico no debería producir únicamente una lista de errores. Cada brecha debe relacionarse con un riesgo y con un objetivo del negocio.
5. Revisa y rediseña los procedimientos
Aquí aparece uno de los principios más valiosos del curso:
Un procedimiento ineficiente con un control encima sigue siendo ineficiente.
Antes de agregar nuevas revisiones, conviene analizar si existen actividades que pueden:
eliminarse → simplificarse → automatizarse → controlarse.
Esto conecta directamente el control interno con la eficiencia operativa.
Si buscas profundizar en cómo utilizar la información interna para identificar cuellos de botella y mejorar procesos, puedes consultar la guía de COFIDE sobre cómo mejorar la contabilidad de gestión.
6. Evalúa si los controles realmente funcionan
Diseñar un control no significa que funcione.
La empresa debe comprobar si:
- Se ejecuta.
- Se realiza en el momento correcto.
- Genera evidencia.
- El responsable entiende su función.
- Reduce efectivamente el riesgo.
También conviene utilizar indicadores sencillos como tiempo de ciclo, porcentaje de cumplimiento o tasa de errores.
El objetivo es medir la eficacia del control, no solamente confirmar que existe en un documento.
7. Implementa, da seguimiento y ajusta
No es necesario cambiar toda la empresa al mismo tiempo.
Una estrategia más práctica consiste en comenzar por los procesos y riesgos de mayor impacto, establecer responsables y fijar fechas.
Esto reduce la resistencia al cambio y permite detectar problemas antes de extender el sistema a otras áreas.
El curso de COFIDE sobre Administración de Riesgos profundiza precisamente en cómo identificar, evaluar y establecer estrategias para controlar riesgos dentro de una organización.
8. Evalúa y mejora continuamente
El control interno no termina cuando se publica un procedimiento.
Los procesos cambian, aparecen nuevos sistemas, se modifican responsabilidades y surgen nuevos riesgos.
Por ello, la última fase debe alimentar nuevamente la primera:
evaluar → aprender → corregir → volver a evaluar.
COSO también considera el monitoreo como uno de los cinco componentes esenciales de un sistema efectivo de control interno.
¿Qué es la segregación de funciones y por qué es importante?
Uno de los controles más importantes consiste en evitar que una misma persona tenga demasiado control sobre una operación.
Idealmente deben separarse cuatro funciones:
|
Función |
Responsabilidad |
|
Autorización |
Aprueba la operación |
|
Ejecución |
Realiza la operación |
|
Custodia |
Resguarda los activos o documentos |
|
Registro |
Documenta la operación en los sistemas |
Por ejemplo, quien selecciona y compra mercancía no debería necesariamente ser la misma persona que recibe el producto, autoriza el pago y registra la factura.
Esta separación crea contrapesos naturales que ayudan a detectar errores o irregularidades.
¿Y si la empresa es demasiado pequeña para separar funciones?
Las pymes no siempre tienen suficiente personal para asignar cada tarea a una persona diferente.
En ese caso pueden utilizarse controles compensatorios, como:
- Revisión directa del propietario o gerente.
- Doble autorización en operaciones críticas.
- Conciliaciones independientes.
- Rotación periódica de determinadas tareas.
- Registros electrónicos que permitan conocer quién realizó cada operación.
Lo importante no es copiar la estructura de una gran empresa, sino diseñar controles acordes con el tamaño, los riesgos y los recursos disponibles.
¿Cómo se relacionan control interno y administración de riesgos?
El principio es sencillo: el riesgo justifica el control.
No deberían agregarse controles solamente “porque siempre se ha hecho así”.
Primero se identifica qué puede impedir alcanzar un objetivo; después se evalúan su probabilidad e impacto y finalmente se determina cómo responder.
Las principales respuestas ante un riesgo son: evitarlo, reducirlo, transferirlo o aceptarlo.
Esta relación entre auditoría, riesgos y controles también permite entender por qué existen diferentes revisiones dentro de una empresa. Puedes ampliar el tema en la guía de COFIDE sobre tipos de auditoría para empresas.
Errores comunes al implementar control interno
Uno de los mayores problemas es pensar que mientras más controles existan, mejor funciona una empresa.
No necesariamente, entre los errores que conviene evitar están copiar controles de otra organización, diseñarlos sin probarlos, intentar implementar todo al mismo tiempo y considerar el control interno como un proyecto que termina.
También existe el extremo contrario: operar sin controles suficientes puede incrementar riesgos fiscales, contables y administrativos. En COFIDE explicamos, por ejemplo, cómo los controles internos ayudan a prevenir riesgos fiscales desde la administración.
Preguntas frecuentes sobre control interno
¿Qué es un sistema de control interno?
Es el conjunto organizado de procesos, responsabilidades, controles y mecanismos de seguimiento que ayudan a una organización a alcanzar sus objetivos con un nivel razonable de seguridad.
¿Cuáles son los cinco componentes de COSO?
Son ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, y actividades de supervisión.
¿El control interno sirve solamente para evitar fraudes?
No. También busca mejorar las operaciones, fortalecer la confiabilidad de la información y favorecer el cumplimiento.
¿Una pyme puede implementar control interno?
Sí. El sistema debe adaptarse al tamaño y características de la organización. Cuando no es posible separar completamente las funciones, pueden diseñarse controles compensatorios.
¿Quién es responsable del control interno?
No es responsabilidad exclusiva de contabilidad o auditoría. El marco COSO plantea el control interno como un proceso que involucra distintos niveles de la organización.
Conclusión
Implementar control interno no significa llenar una empresa de autorizaciones. Significa identificar dónde existe un riesgo, diseñar el control adecuado y comprobar que funciona sin entorpecer innecesariamente la operación.
El proceso debe comenzar con la cultura y el entendimiento del negocio, continuar con el diagnóstico y rediseño de procesos y mantenerse mediante evaluación y mejora continua.
Estos principios fueron desarrollados en el curso de COFIDE Control Interno: Optimización de Procesos y Eficiencia Operativa, impartido por el M.F. Ramón Miranda Lagunas.
Para responsables de administración, finanzas, contabilidad, auditoría y dirección, mantenerse actualizado en control interno, administración de riesgos y eficiencia operativa permite anticipar problemas antes de que se conviertan en pérdidas. En COFIDE puedes encontrar capacitación y contenidos especializados para convertir estos conocimientos en procesos aplicables dentro de la empresa.
