Diagnóstico del sistema de control interno

La mayoría de las organizaciones no descubre que su sistema de control interno tiene grietas hasta que algo se rompe: un fraude interno, un error material en los estados financieros, un hallazgo significativo en la auditoría externa o una observación del regulador.

Para entonces, el costo no es solo financiero (ajustes, multas, retrabajo), sino reputacional, y la conversación con la Junta Directiva deja de ser sobre estrategia para volverse sobre justificaciones. Un diagnóstico hecho a tiempo invierte esa lógica: le permite encontrar las grietas mientras todavía son manejables.
 

¿Qué es y qué no es un diagnóstico de control interno?

Un diagnóstico de control interno es una evaluación estructurada e independiente del estado actual de los controles que su organización tiene instalados sobre sus procesos críticos, contrastándolos con un marco de referencia global como COSO 2013.

• Lo que NO es: No es una auditoría (no busca emitir una opinión sobre los estados financieros) ni una certificación.
• Lo que SÍ es: Es, más bien, una radiografía. Identifica qué controles existen y funcionan, cuáles existen pero no operan como deberían, y cuáles deberían existir pero están ausentes.

La diferencia con una auditoría es importante: la auditoría le dice si sus números son razonables a una fecha de corte; el diagnóstico le dice si su sistema de control es capaz de seguir produciendo números razonables y operaciones controladas en los próximos 12 o 24 meses, considerando cómo está cambiando su negocio. Es una mirada hacia adelante, no hacia atrás.
 

¿Por qué hacerlo ahora y no después?

Hay momentos en la vida de una organización que actúan como disparadores naturales para un diagnóstico. Si reconoce alguno de estos escenarios en su empresa, probablemente ya tenga la respuesta:

• Crecimiento acelerado: Cuando la operación crece más rápido que los procesos, los controles que funcionaban con cinco transacciones diarias dejan de escalar a quinientas, y nadie lo nota hasta que aparece un descuadre.
• Cambios tecnológicos: Una migración de ERP, la adopción de un nuevo sistema contable o la integración de soluciones SaaS reconfiguran por completo dónde viven los controles y suelen dejar huecos invisibles en la transición.
• Cambios en la estructura o la propiedad: Una fusión, una adquisición, la entrada de un nuevo inversionista o un cambio en la alta dirección redefinen responsabilidades y autoridad; los controles diseñados para la estructura anterior pierden dueño.
• Nuevas exigencias regulatorias: Actualizaciones normativas o expectativas crecientes de matrices internacionales obligan a demostrar control de forma más rigurosa y documentada.
• Hallazgos recurrentes de auditoría: Cuando los mismos hallazgos aparecen año tras año, el problema no es lo que la auditoría encontró; es lo que el sistema de control no está detectando a tiempo.

 

Cómo se hace un diagnóstico que genere valor

Un diagnóstico bien ejecutado no se limita a un cuestionario respondido por correo electrónico. Un proceso robusto combina cuatro fuentes de evidencia:

1. Entrevistas con responsables de procesos clave.
2. Revisión documental de políticas y procedimientos.
3. Walkthroughs (recorridos detallados), en los que se sigue una transacción de extremo a extremo para verificar cómo opera el control en la práctica.
4. Pruebas selectivas que contrastan lo documentado con lo que realmente ocurre.

Esta combinación es lo que evita el sesgo de tomar por bueno únicamente lo que dice el manual.

El alcance se construye en conjunto con la organización, no se impone. Típicamente cubre los procesos financieros críticos (cierre contable, cuentas por cobrar y pagar, tesorería, nómina), los procesos operativos de mayor riesgo según el giro del negocio, y los controles transversales sobre tecnología, accesos y gestión del cambio. Cada control evaluado se califica según su diseño y operación, y los hallazgos se priorizan por impacto y esfuerzo de remediación.
 

¿Qué obtiene su organización de este diagnóstico?

Al finalizar el proceso, la dirección recibe entregables totalmente accionables:

• Mapa de madurez: Un panorama claro del sistema de control interno frente a COSO 2013, componente por componente, con una calificación transparente y trazable.
• Inventario de brechas: Priorizado por el impacto real sobre los objetivos del negocio y por el nivel de esfuerzo requerido para resolverlas.
• Plan de remediación: Con acciones específicas, responsables sugeridos, plazos realistas y quick wins (mejoras rápidas) ejecutables en un periodo de 30 a 90 días.
• Base para la toma de decisiones: Una conversación clara con la alta dirección y la Junta Directiva sobre dónde concentrar la inversión y la atención durante el próximo ciclo.

Nada de esto vive en un PDF que se archiva. La meta es que en seis meses su organización pueda verse en el espejo y notar una evolución real.
 

Conversemos

En nuestra práctica de Risk Advisory Services diseñamos diagnósticos adaptados al tamaño y la complejidad de cada organización, desde revisiones focalizadas hasta evaluaciones integrales que cubren toda la operación. Trabajamos con metodologías globales aplicadas con criterio local, entregando hallazgos prácticos que su equipo puede implementar de manera inmediata.

Si se quedó pensando en dos o tres procesos donde no está completamente seguro de qué tan sólidos son sus controles, esa es exactamente la conversación con la que debemos empezar.