Diseñar una organización que no dependa de la confianza
El control interno convierte políticas y responsabilidades en mecanismos verificables. Su eficacia exige segregación de funciones, autorizaciones proporcionales, información confiable, controles tecnológicos y seguimiento permanente de las excepciones relevantes.
En muchas organizaciones, los controles aparecen después del problema. Una transferencia equivocada conduce a exigir una autorización adicional; un fraude provoca nuevas firmas; una pérdida de información genera restricciones; una compra indebida produce formularios que, con el tiempo, terminan aplicándose a cualquier adquisición sin distinguir su importancia. El resultado puede ser una estructura abundante en procedimientos y pobre en control efectivo.
La verdadera disciplina consiste en diseñar mecanismos a partir de riesgos concretos y no como reacción acumulativa frente a incidentes pasados. Controlar no significa burocratizar cada decisión, sino establecer puntos razonables donde una operación pueda prevenirse, detectarse, corregirse o escalarse antes de producir consecuencias materiales.
Desde la perspectiva del consejo, el control interno representa una pieza esencial de supervisión porque permite confiar razonablemente en que las decisiones aprobadas se ejecutan dentro de los parámetros establecidos. El órgano no puede observar personalmente cada pago, contratación, registro contable o movimiento de inventario. Necesita una arquitectura mediante la cual responsabilidades, autorizaciones, sistemas y revisiones produzcan evidencia suficiente sobre el funcionamiento de la organización. Una empresa institucionalizada no es aquella donde el propietario conoce personalmente todo lo que ocurre, sino aquella capaz de operar de manera controlada aun cuando el propietario no esté presente para verificarlo.
El control interno no pertenece exclusivamente al área financiera
Es frecuente asociar control interno con contabilidad porque muchas de sus manifestaciones más visibles se relacionan con pagos, conciliaciones, cierres y registros. Sin embargo, el concepto es más amplio. Existen controles comerciales, operativos, tecnológicos, jurídicos, laborales, de seguridad y de información.
Un contrato firmado por una persona sin facultades constituye una falla de control. También lo son permitir accesos tecnológicos innecesarios, modificar precios sin autorización, contratar proveedores sin revisión o mantener información crítica sin respaldo.
La Ley General de Sociedades Mercantiles (LGSM) distribuye funciones y responsabilidades dentro de la estructura societaria, mientras que el régimen concreto de cada organización puede imponer obligaciones adicionales. No existe para toda sociedad un catálogo universal de controles que deba implementarse exactamente de la misma manera.
El diseño debe responder al tamaño, complejidad y riesgos reales de la empresa. Una estructura adecuada para un grupo de gran escala puede resultar desproporcionada para una compañía de menor dimensión.
La segregación de funciones reduce oportunidades de error y abuso
Uno de los principios más conocidos consiste en evitar que una misma persona controle todas las etapas de una operación sensible. Quien solicita una compra no debería, como regla de control, seleccionar unilateralmente al proveedor, aprobar la factura, modificar sus datos bancarios y liberar el pago sin intervención adicional.
La segregación no implica multiplicar participantes innecesariamente. Busca separar funciones incompatibles en procesos donde el error o abuso podría permanecer sin detectar.
La confianza es indispensable para dirigir una empresa, pero resulta insuficiente para controlarla: los procesos deben continuar protegiendo el patrimonio aun cuando una persona se equivoque, se ausente o actúe indebidamente.
En empresas pequeñas, una separación completa puede ser imposible. En esos casos deben establecerse controles compensatorios: revisión posterior por un responsable distinto, reportes de excepciones, límites monetarios o supervisión directa de determinadas operaciones.
La imposibilidad de implementar el control ideal no justifica operar sin ningún mecanismo. Obliga a diseñar uno proporcional.
Las matrices de autorización deben reflejar responsabilidades reales
Muchas compañías cuentan con matrices que establecen quién puede aprobar gastos, contratos, descuentos o inversiones. Su utilidad depende de que permanezcan actualizadas y correspondan con facultades efectivas.
Debe distinguirse entre una autorización interna y una facultad jurídica para representar a la sociedad. Que un ejecutivo tenga autorización presupuestaria para aprobar determinado gasto no significa necesariamente que cuente con poder para celebrar el contrato correspondiente.
Jurídico, finanzas y administración deben coordinar ambos planos. De lo contrario, pueden aparecer operaciones aprobadas internamente pero formalizadas por personas sin facultades suficientes, o contratos jurídicamente firmados que nunca recibieron la autorización interna requerida.
Los cambios de puesto constituyen un momento particularmente sensible. Las facultades y accesos de una persona que deja determinada responsabilidad deben modificarse oportunamente.
Más firmas no equivalen a mayor control
Una operación con seis autorizaciones puede estar menos controlada que otra con dos si los participantes firman automáticamente. La multiplicación indiscriminada de aprobaciones genera fatiga y diluye responsabilidad.
Cada autorización debería tener una finalidad identificable. Una persona puede revisar presupuesto; otra, condiciones comerciales; otra, aspectos jurídicos. Si todos verifican supuestamente todo, existe el riesgo de que nadie revise nada con profundidad.
También deben existir umbrales. Una compra rutinaria de bajo monto no requiere necesariamente el mismo procedimiento que una inversión material. El diseño eficiente concentra la atención de las personas con mayor responsabilidad en las operaciones donde su criterio realmente agrega valor.
Las excepciones son parte del sistema y deben ser visibles
Ninguna política puede anticipar todas las circunstancias. En ocasiones resulta razonable apartarse de un procedimiento para atender una urgencia, aprovechar una oportunidad o resolver una contingencia.
El problema no es necesariamente la excepción, sino que se convierta en una vía informal para evitar controles.
Las excepciones deberían requerir justificación, autorización por el nivel correspondiente y, cuando sean relevantes, seguimiento posterior. Un reporte periódico puede mostrar cuántas ocurrieron, en qué áreas y por qué razones.
Si una excepción se repite constantemente, quizá el problema se encuentre en la política. Una regla que necesita ser ignorada para operar diariamente probablemente requiere revisión.
En cambio, si determinadas personas utilizan reiteradamente excepciones para eludir competencia, cotizaciones o límites, puede existir un problema de conducta.
Los accesos tecnológicos son hoy parte esencial del control
Buena parte de las operaciones se ejecuta dentro de sistemas. Por ello, la segregación de funciones debe reflejarse también en permisos digitales.
Una política puede establecer que quien crea un proveedor no debe autorizar pagos, pero el control resulta inútil si el sistema permite que la misma cuenta realice ambas acciones.
Los accesos deberían asignarse conforme a responsabilidades y revisarse periódicamente. Cuando una persona cambia de puesto o sale de la organización, los permisos deben modificarse con rapidez.
Los usuarios con privilegios elevados requieren atención particular porque pueden modificar configuraciones o datos que afectan numerosos procesos.
También deben controlarse cuentas compartidas. Cuando varias personas utilizan las mismas credenciales, la trazabilidad disminuye y resulta más difícil determinar quién realizó una operación.
La información confiable también es un control
El consejo y la dirección toman decisiones utilizando reportes. Si éstos son incompletos, tardíos o manipulables, otros controles pueden perder efectividad.
Debe conocerse de dónde provienen los indicadores relevantes, quién puede modificarlos y qué validaciones existen. Esto es especialmente importante para métricas utilizadas en bonos, cumplimiento de convenios financieros o decisiones de inversión.
Cuando un indicador determina una remuneración significativa, quienes pueden influir en su cálculo poseen un incentivo que debe considerarse dentro del diseño.
El control no implica presumir mala fe. Significa reconocer que los incentivos afectan comportamientos y diseñar mecanismos que reduzcan la posibilidad de manipulación.
Los controles manuales y automáticos tienen riesgos diferentes
Los controles automáticos pueden ejecutarse consistentemente y a gran escala, pero dependen de una configuración correcta. Un error de programación puede repetirse miles de veces antes de ser detectado.
Los controles manuales permiten utilizar juicio, aunque están expuestos a fatiga, omisión y criterios inconsistentes.
Una arquitectura madura combina ambos tipos según el proceso. También establece revisiones sobre los controles automáticos, particularmente después de cambios en sistemas.
Automatizar un procedimiento defectuoso no lo convierte en buen control; únicamente permite ejecutar el defecto con mayor velocidad.
La incorporación de inteligencia artificial hace todavía más importante esta consideración cuando los sistemas intervienen en decisiones o clasificación de operaciones.
Los controles deben probarse, no sólo documentarse
Tener una política escrita no demuestra que se aplique. El consejo necesita confianza razonable sobre la efectividad real del sistema, lo que exige algún mecanismo de prueba.
Auditoría interna, revisiones administrativas, monitoreo automatizado y otras funciones pueden proporcionar evidencia. El método dependerá del riesgo y de la estructura de la organización.
Las pruebas deben distinguir entre diseño y operación. Un control puede estar perfectamente diseñado y fallar porque nadie lo ejecuta; otro puede ejecutarse consistentemente y resultar inútil porque no reduce el riesgo para el que fue creado.
Esta distinción evita celebrar como éxito la mera existencia documental.
El fraude suele explotar controles conocidos
Las personas que cometen irregularidades dentro de una organización conocen con frecuencia sus procedimientos. Saben quién firma sin revisar, cuándo existen sustituciones, qué montos reciben menor atención y dónde pueden dividirse operaciones para permanecer debajo de un límite.
Por ello, el diseño debe considerar posibilidades de elusión. Los reportes de excepciones y análisis de datos pueden detectar operaciones fraccionadas, modificaciones inusuales de cuentas bancarias o patrones atípicos.
Los controles sobre cambios de datos de proveedores son particularmente relevantes. Una instrucción aparentemente legítima para modificar una cuenta puede provocar transferencias significativas hacia un tercero.
La verificación mediante un canal independiente puede ser sencilla y, al mismo tiempo, evitar pérdidas importantes.
El consejo supervisa el sistema; no ejecuta los controles
El órgano de administración no debería revisar facturas ni autorizar pagos ordinarios como mecanismo habitual de control. Si necesita hacerlo para sentirse seguro, probablemente existe una deficiencia en la estructura administrativa.
Un buen control no es el que agrega más firmas a una operación, sino el que reduce un riesgo concreto, deja evidencia suficiente y permite detectar oportunamente aquello que se aparta de lo esperado.
Su función consiste en comprender los riesgos principales, asegurarse de que existen mecanismos razonables y recibir información sobre deficiencias relevantes.
El Código de Principios y Mejores Prácticas de Gobierno Corporativo (Código) reconoce la importancia del control interno, la administración integral de riesgos y la información confiable como elementos esenciales para el funcionamiento del consejo y sus órganos intermedios.
La supervisión puede apoyarse en auditoría, finanzas y otras funciones, pero el consejo debe mantener una visión integral. Un hallazgo tecnológico puede producir consecuencias financieras; una deficiencia comercial puede generar exposición jurídica.
Los controles también necesitan un propietario
Cada control relevante debería tener un responsable. Las expresiones “lo revisa finanzas” o “lo valida sistemas” pueden resultar demasiado ambiguas cuando nadie tiene responsabilidad individual sobre su ejecución.
El propietario debe conocer qué riesgo reduce, con qué frecuencia se realiza y qué evidencia debe conservarse. También necesita saber qué hacer cuando detecta una excepción.
Esta asignación facilita posteriormente las pruebas y correcciones.
Cuando un control deja de tener sentido, debe modificarse o eliminarse. Mantener controles obsoletos consume tiempo y reduce la atención disponible para los realmente importantes.
El costo del control también debe administrarse
Controlar tiene un costo. Requiere personas, sistemas y tiempo. Pretender eliminar absolutamente cualquier posibilidad de error puede hacer económicamente inviable un proceso.
Por ello, el diseño debe considerar materialidad y tolerancia al riesgo. Algunas exposiciones justifican controles preventivos fuertes; otras pueden administrarse mediante detección posterior.
La decisión no debe basarse únicamente en el costo inmediato. Un control aparentemente caro puede ser razonable frente a una pérdida potencial elevada.
Lo importante es que exista una relación comprensible entre riesgo, control y costo.
La alta dirección determina si el sistema funciona realmente
Los mejores procedimientos pierden eficacia cuando la dirección considera que las reglas son aplicables únicamente a los demás. Las excepciones permanentes para ejecutivos envían una señal poderosa al resto de la organización.
Si el director general puede omitir procesos sin explicación, otros aprenderán que los controles son obstáculos negociables. Por el contrario, cuando la alta dirección respeta las reglas y documenta sus propias excepciones, fortalece la cultura de control.
El llamado tono desde la dirección no debe reducirse a discursos sobre ética. Se demuestra en decisiones cotidianas, especialmente cuando cumplir el procedimiento resulta incómodo.
La cultura de control comienza cuando las personas con mayor poder aceptan que precisamente su poder necesita límites y trazabilidad.
Un sistema maduro aprende de sus fallas
Ningún control interno elimina completamente errores, fraudes o incumplimientos. Su calidad se demuestra también por la capacidad para detectar fallas y mejorar.
Cada incidente relevante debería provocar preguntas sobre el proceso: ¿qué control debía prevenirlo?, ¿existía?, ¿funcionó?, ¿fue eludido?, ¿qué señal no observamos?
La respuesta no siempre debe ser agregar otro control. Puede ser simplificar, automatizar, capacitar o eliminar una autorización que generaba falsa seguridad.
La acumulación indiscriminada de controles termina produciendo burocracia y puede incluso incrementar riesgos cuando las personas comienzan a buscar mecanismos informales para operar.
Controlar no significa desconfiar de todos
Una objeción habitual sostiene que implementar controles transmite falta de confianza. La premisa confunde relaciones personales con diseño institucional.
Los controles protegen también a las personas honestas. Una conciliación independiente puede demostrar que un cajero actuó correctamente; una autorización documentada puede acreditar que un ejecutivo siguió el procedimiento; una segregación adecuada evita que una sola persona cargue con responsabilidad sobre todo el proceso.
Además, los sistemas deben funcionar cuando cambian quienes los integran. Una empresa no puede depender permanentemente de conocer personalmente la integridad de cada nuevo empleado, proveedor o directivo.
La confianza sigue siendo valiosa, pero debe complementarse con estructura.
Del control personal al control institucional
En empresas que nacen alrededor de un fundador, el primer sistema de control suele ser el propio fundador. Revisa pagos, conoce clientes, negocia contratos y detecta rápidamente cualquier movimiento inusual. Durante cierta etapa, ese modelo puede funcionar.
El crecimiento lo vuelve insostenible. El fundador comienza a autorizar operaciones que ya no puede analizar, mientras la organización continúa creyendo que su firma representa control. En realidad, puede haberse convertido en un cuello de botella y en una aprobación automática.
La transición consiste en sustituir conocimiento personal por procesos, límites, sistemas y reportes. El fundador deja de revisar cada operación y comienza a supervisar que exista una estructura capaz de hacerlo.
Ése es uno de los pasos más importantes hacia la institucionalización.
La pregunta que debe formular el consejo no es cuántos controles existen, sino si los riesgos más importantes cuentan con mecanismos capaces de prevenirlos o detectarlos oportunamente y si alguien verifica que esos mecanismos funcionen.
Cuando la respuesta depende de frases como “siempre lo hemos hecho así”, “esa persona es de absoluta confianza” o “el director revisa todo”, la organización probablemente conserva controles personales más que institucionales.
El control interno alcanza su propósito cuando permite que la empresa funcione con confianza, pero sin depender exclusivamente de ella. Porque la institucionalización comienza precisamente cuando la organización puede confiar en sus personas sin exigir que su patrimonio dependa de que ninguna de ellas se equivoque jamás.
Sobre el autor
Adrián Sachiel Paredes Cruz
Abogado por la Universidad de Guadalajara, socio del instituto CEDE para contadores y abogados
Sigue leyendo
