La infraestructura invisible que sostiene la confianza empresarial

El control interno suele adquirir visibilidad después de una pérdida, un fraude, una incorrección contable o una falla operativa. Antes de esos acontecimientos puede percibirse como una infraestructura administrativa compuesta por autorizaciones, conciliaciones, segregación de funciones, políticas y revisiones cuyo valor resulta difícil de observar. Sin embargo, precisamente su funcionamiento cotidiano permite que la organización confíe razonablemente en que determinadas actividades se realizan conforme a parámetros previamente establecidos. El control interno no elimina la posibilidad de error ni garantiza que ninguna persona actuará indebidamente; su propósito consiste en reducir riesgos hasta niveles razonables, generar información confiable y establecer mecanismos que permitan detectar oportunamente desviaciones.

Desde la perspectiva del gobierno corporativo, existe una distinción fundamental entre diseñar y operar controles, responsabilidad primordial de la administración, y supervisar la suficiencia general del sistema, función que corresponde al consejo y, cuando proceda, a los órganos intermedios conforme al régimen aplicable. El consejo que intenta aprobar cada procedimiento invade la gestión; aquel que nunca pregunta por deficiencias relevantes renuncia a una parte esencial de su función de vigilancia. La disciplina consiste en conservar suficiente distancia para supervisar y suficiente información para saber cuándo una debilidad puede comprometer los objetivos de la sociedad.

El control debe comenzar por el riesgo

Diseñar controles sin identificar previamente qué puede salir mal conduce fácilmente a procedimientos que consumen recursos sin proteger asuntos importantes. Cada control debería responder a un riesgo razonablemente identificado: pagos indebidos, registros incorrectos, acceso no autorizado, pérdida de activos, incumplimiento contractual, errores de información o interrupciones de procesos críticos, entre otros.

Esta conexión permite evaluar proporcionalidad. Un riesgo de baja materialidad no necesita necesariamente varios niveles de autorización; uno capaz de producir una pérdida significativa puede justificar controles preventivos y detectivos complementarios. La pregunta no debería ser cuántos controles posee un proceso, sino si los controles existentes reducen razonablemente las exposiciones que realmente importan.

La segregación de funciones continúa siendo esencial

Uno de los principios más elementales consiste en evitar que una sola persona controle todas las etapas de una operación relevante. Autorizar, ejecutar, registrar y conciliar una misma transacción concentra capacidad suficiente para que un error o abuso permanezca sin detección. Separar determinadas funciones introduce revisión y reduce esa posibilidad.

En organizaciones pequeñas, la segregación perfecta puede ser imposible. La ausencia de suficiente personal no elimina el riesgo; exige controles compensatorios. Una revisión periódica por un nivel superior, conciliaciones independientes o alertas tecnológicas pueden proporcionar protección adicional. El sistema debe reconocer sus limitaciones y diseñar respuestas realistas, en lugar de documentar una separación que en la práctica no existe.

La autorización no debe convertirse en ritual

Solicitar múltiples firmas puede generar apariencia de control sin garantizar una verdadera revisión. Cuando las personas autorizan cientos de operaciones rutinariamente, existe el riesgo de que la firma se convierta en un acto automático. Un buen esquema debe reservar los niveles superiores para asuntos cuya cuantía, naturaleza o excepción realmente justifiquen su intervención.

El control interno no consiste en acumular autorizaciones y firmas, sino en diseñar una organización capaz de prevenir, detectar y corregir errores antes de que comprometan decisiones, patrimonio o confianza.

Los límites de autoridad deben encontrarse claramente definidos y actualizarse conforme cambia la organización. También resulta conveniente vigilar fraccionamientos destinados a evitar umbrales. El control pierde eficacia cuando la estructura incentiva a las personas a encontrar mecanismos para rodearlo en lugar de utilizarlo como una guía de responsabilidad.

La tecnología modifica los controles, pero no elimina su necesidad

Los sistemas empresariales permiten automatizar autorizaciones, restricciones de acceso, validaciones y conciliaciones. Esta automatización puede mejorar consistencia y trazabilidad, aunque introduce una dependencia distinta: si la configuración es incorrecta, el error puede reproducirse masivamente con extraordinaria eficiencia.

Por ello, los controles tecnológicos deben incluir administración de accesos, cambios de configuración y revisión de privilegios. Resulta especialmente importante conocer quién puede modificar reglas, crear usuarios o alterar información crítica. Automatizar un proceso deficiente no lo convierte en controlado; simplemente acelera su ejecución.

Los accesos privilegiados merecen especial atención

Usuarios con capacidad para modificar sistemas, bases de datos o configuraciones críticas pueden superar controles diseñados para usuarios ordinarios. La organización debe conocer quién posee esos privilegios, por qué los necesita y cómo se supervisa su utilización.

Las cuentas de antiguos empleados, accesos temporales que nunca fueron eliminados o privilegios acumulados después de varios cambios de puesto constituyen vulnerabilidades frecuentes. Las revisiones periódicas permiten comprobar que los accesos continúan correspondiendo con las responsabilidades actuales. La confianza en una persona no debería sustituir esta disciplina; el control protege tanto a la empresa como a quienes manejan información sensible.

La dirección puede vulnerar incluso un buen sistema

Uno de los riesgos más complejos aparece cuando personas con suficiente autoridad pueden ignorar controles ordinarios. La dirección necesita cierta capacidad para autorizar excepciones, pero esa flexibilidad también puede utilizarse para superar restricciones diseñadas precisamente para proteger a la organización.

Las excepciones relevantes deberían dejar evidencia y encontrarse sujetas a revisión proporcional. Cuando determinadas personas recurren frecuentemente a mecanismos extraordinarios, el consejo o el órgano competente debe comprender la razón. Puede existir un procedimiento mal diseñado, pero también una cultura donde los controles son tratados como obstáculos que pueden eliminarse mediante jerarquía.

Las deficiencias necesitan clasificación

No toda falla de control tiene la misma importancia. Un error aislado corregido inmediatamente no debería recibir el mismo tratamiento que una debilidad capaz de permitir pérdidas significativas o información incorrecta de manera recurrente. Clasificar las deficiencias permite concentrar recursos y atención.

La materialidad debe considerar tanto impacto como probabilidad y naturaleza. Determinadas fallas relacionadas con fraude, cumplimiento o información sensible pueden justificar escalamiento aun cuando su cuantía inmediata resulte reducida. La clasificación debe conducir a responsables y fechas de corrección; de otro modo, se transforma simplemente en otra columna dentro de un reporte.

Los hallazgos recurrentes revelan un problema diferente

Una deficiencia que aparece nuevamente después de haber sido reportada merece mayor atención que un hallazgo nuevo de importancia semejante. La recurrencia puede indicar que la causa raíz nunca fue corregida, que la administración aceptó implícitamente el riesgo o que los responsables carecen de capacidad para implementar la solución.

El consejo no necesita administrar cada plan correctivo, pero sí debería conocer las deficiencias materiales y aquellas que permanecen abiertas durante periodos injustificadamente largos. La repetición constante de un mismo hallazgo es información sobre la cultura de control, no únicamente sobre el procedimiento afectado.

Auditoría interna fortalece la evaluación independiente

Cuando la dimensión y complejidad de la organización lo justifican, auditoría interna puede proporcionar una evaluación independiente respecto de procesos, riesgos y controles. Su valor depende de contar con suficiente objetividad, acceso a información y capacidad para comunicar asuntos relevantes sin interferencias indebidas.

El plan de auditoría debería concentrarse en riesgos y no limitarse a repetir ciclos históricos porque “siempre se han revisado”. Los cambios en estrategia, sistemas, adquisiciones o procesos pueden modificar prioridades. Una función que audita perfectamente los riesgos de ayer puede dejar sin revisar aquellos que hoy amenazan a la organización.

El auditor externo no sustituye el control interno

La auditoría externa cumple una función distinta y su alcance se encuentra determinado por los objetivos y normas aplicables al encargo correspondiente. La existencia de estados financieros auditados no significa que todos los procesos hayan sido examinados ni que ningún fraude pueda ocurrir.

El consejo debe evitar delegar mentalmente la responsabilidad sobre controles al auditor externo. Sus observaciones pueden aportar información relevante, especialmente respecto de procesos vinculados con información financiera, pero la administración continúa siendo responsable de operar el sistema y los órganos de gobierno deben ejercer la supervisión que les corresponda.

Los controles también deben proteger información no financiera

La calidad de la información utilizada para decisiones comerciales, operativas y estratégicas puede ser tan importante como la información financiera. Indicadores de ventas, inventarios, clientes, productividad o cumplimiento pueden influir en decisiones materiales del consejo y de la administración.

Un control que existe únicamente en el manual, pero que nadie ejecuta, proporciona menos protección que un riesgo reconocido abiertamente: crea una certeza que la organización realmente no posee.

Si nadie conoce su fuente, metodología o responsable, una cifra presentada repetidamente puede adquirir credibilidad simplemente por familiaridad. Los controles sobre datos relevantes deben procurar consistencia, trazabilidad y revisión proporcional. El tablero más sofisticado pierde utilidad cuando sus indicadores parten de información cuya integridad no puede explicarse.

El fraude exige considerar oportunidad y autoridad

Los esquemas fraudulentos suelen aprovechar debilidades conocidas, relaciones de confianza o capacidad para superar procedimientos. La prevención no debe basarse en la expectativa de que únicamente personas desconocidas actuarán indebidamente. Cuanto mayor sea la autoridad de una posición, mayor puede ser su capacidad para evadir controles ordinarios.

Esto justifica mecanismos de denuncia, revisiones independientes y atención a transacciones inusuales. También exige evitar una conclusión equivocada: que incrementar indiscriminadamente controles eliminará cualquier posibilidad de fraude. Los controles reducen oportunidades; la cultura, los incentivos y la supervisión complementan esa protección.

Los canales de denuncia son también controles

Un mecanismo de denuncia puede permitir detectar comportamientos que los controles transaccionales no identifican. Su eficacia depende de confidencialidad, investigación adecuada y ausencia de represalias. Un canal formal que nadie utiliza por temor proporciona escasa protección.

El consejo o el órgano intermedio competente debería conocer tendencias relevantes sin intervenir necesariamente en cada reporte. Cantidad de denuncias, materias recurrentes, tiempos de investigación y asuntos de especial gravedad pueden ofrecer señales sobre cultura y funcionamiento del sistema. Una disminución abrupta en denuncias no siempre significa que los problemas desaparecieron; también puede indicar pérdida de confianza en el mecanismo.

Terceros y proveedores forman parte del entorno de control

La externalización de procesos no transfiere automáticamente todos sus riesgos. Nómina, tecnología, almacenamiento de datos, logística o servicios administrativos pueden depender de terceros cuyos controles afectan directamente a la organización. La selección y supervisión deben guardar relación con la criticidad del servicio.

No todos los proveedores requieren la misma diligencia. La empresa debe identificar aquellos cuya falla podría producir consecuencias materiales y establecer mecanismos razonables de evaluación, contratos, acceso a información y continuidad. El costo menor de externalizar un proceso puede resultar irrelevante si crea una dependencia que nadie había analizado.

Las adquisiciones deben integrar controles rápidamente

Una empresa adquirida puede operar con sistemas, autorizaciones y culturas muy diferentes. Durante la integración aparece un periodo especialmente vulnerable: existen cambios de responsabilidades, accesos temporales y procedimientos que todavía no han sido armonizados.

El plan de integración debería incluir desde el inicio controles críticos. Esperar hasta completar todas las sinergias puede dejar exposiciones abiertas durante meses. La prioridad no consiste en uniformar inmediatamente cada procedimiento, sino en identificar aquello que podría comprometer información, activos o cumplimiento mientras la integración continúa.

La LGSM proporciona el marco de administración y vigilancia

La Ley General de Sociedades Mercantiles (LGSM) contiene el marco jurídico aplicable a la administración y vigilancia conforme al tipo social. Tratándose de la sociedad anónima, los artículos 142 y siguientes regulan la administración, mientras que los artículos 164 y siguientes contemplan la figura y funciones de vigilancia de los comisarios, sin perjuicio de las particularidades que correspondan a otros tipos societarios y regímenes especiales.

Este fundamento no significa que la LGSM establezca un modelo técnico uniforme de control interno para toda sociedad. La distinción es importante: las metodologías de control constituyen herramientas para apoyar el cumplimiento de responsabilidades corporativas, pero no deben presentarse como obligaciones legales específicas cuando la ley no las configura en esos términos. Estatutos, políticas y características particulares de la sociedad completarán el marco aplicable.

La LMV establece responsabilidades específicas cuando corresponde

La Ley del Mercado de Valores (LMV) contiene un régimen más desarrollado para las sociedades comprendidas en sus disposiciones, particularmente respecto del consejo de administración y de los comités que desempeñan funciones de auditoría y prácticas societarias. En el caso de las sociedades anónimas bursátiles, la LMV atribuye funciones específicas relacionadas con sistemas de control interno y auditoría interna, además de la supervisión de información y cumplimiento dentro del ámbito previsto legalmente.

Estas disposiciones deben aplicarse conforme al régimen concreto de la sociedad. No resulta correcto transformar automáticamente las exigencias de una emisora en obligaciones de cualquier sociedad cerrada. Sin embargo, la separación entre operación, evaluación y supervisión constituye una referencia útil para organizaciones que voluntariamente desean fortalecer su estructura.

El Código y la función de auditoría

El Código de Principios y Mejores Prácticas de Gobierno Corporativo (Código) reconoce al control interno como una materia relevante para el adecuado funcionamiento del gobierno corporativo y recomienda que el consejo, apoyado por el órgano intermedio correspondiente, procure que existan mecanismos apropiados para su evaluación y seguimiento.

Su lógica resulta particularmente valiosa: el consejo no necesita convertirse en ejecutor de controles, pero debe contar con suficiente información para conocer si el sistema funciona y si las principales deficiencias reciben atención. La participación de un órgano intermedio puede permitir mayor profundidad sin trasladar al pleno detalles operativos innecesarios.

El control debe ser proporcional al riesgo y a la organización

Copiar el manual de una empresa mucho mayor puede generar controles imposibles de ejecutar; mantener procedimientos informales después de que la empresa creció puede producir el problema contrario. El sistema debe evolucionar conforme aumentan operaciones, personal, geografías y complejidad tecnológica.

Esta proporcionalidad requiere revisión periódica. Un control diseñado hace años puede haberse vuelto redundante después de automatizar un proceso, mientras una actividad nueva puede carecer completamente de mecanismos de supervisión. Mantener controles únicamente porque siempre existieron consume recursos y puede disminuir la atención sobre aquellos que verdaderamente importan.

El consejo debe conocer las excepciones, no cada transacción

Una supervisión eficaz se concentra en patrones y asuntos materiales. El consejo no necesita revisar cada pago, conciliación o autorización. Debe recibir información sobre deficiencias significativas, excepciones relevantes, hallazgos recurrentes y evolución general del entorno de control.

Esta perspectiva permite preservar la separación entre gobierno y administración. Cuando el consejo intenta convertirse en una capa adicional de autorización, puede debilitar la responsabilidad ejecutiva. Su función consiste en verificar que exista un sistema razonable y exigir explicaciones cuando las señales muestran que dicho sistema no está funcionando.

La prueba definitiva es lo que ocurre cuando alguien intenta saltarse el control

Los procedimientos suelen funcionar perfectamente cuando todos desean cumplirlos. Su verdadera eficacia aparece cuando una persona intenta evitarlos, cuando existe presión para cerrar una operación o cuando un ejecutivo solicita una excepción urgente. En esos momentos se revela si el control constituye una regla institucional o solamente una recomendación susceptible de desaparecer frente a suficiente autoridad.

El consejo debería prestar especial atención a la cultura alrededor de las excepciones. Una organización madura puede permitirlas cuando existen razones justificadas, pero exige que sean visibles, autorizadas y documentadas conforme corresponda. La flexibilidad no es incompatible con el control; la invisibilidad sí lo es.

Un sistema de control interno eficaz no promete que nada saldrá mal. Proporciona algo más realista y valioso: una certeza razonable de que la organización conoce sus principales vulnerabilidades, asigna responsabilidades, detecta desviaciones y puede corregirlas antes de que una falla ordinaria se convierta en un problema extraordinario.