Auditoría interna y gestión de riesgos

En muchas organizaciones de Latam existe una confusión peligrosa: creer que el área de Riesgos es la responsable de todos los riesgos, o peor aún, que Auditoría Interna debe arreglar los controles que fallan.

Esta falta de claridad en el Gobierno Corporativo crea un círculo vicioso de "autoauditoría", donde se pierde la objetividad y la independencia.

Para simplificarlo: Gestión de Riesgos construye y protege; Auditoría Interna revisa y asegura.

Si quieres evitar conflictos de interés y duplicidad de funciones, aquí te explicamos dónde termina una responsabilidad y empieza la otra.

1. Gestión de Riesgos: Los dueños de la acción

Empecemos rompiendo un mito: Los riesgos no son del área de Riesgos; son de los dueños del proceso.

La Gestión de Riesgos es una función de la segunda línea de defensa. Su trabajo es articular, facilitar metodologías y asegurar que la administración (primera línea) tenga las herramientas para identificar y controlar sus propios riesgos.

¿Qué SÍ hace Gestión de Riesgos?

• Articula: Ayuda a los dueños de proceso a identificar y evaluar riesgos.
• Monitorea: Mantiene vivas las matrices y los mapas de calor para que no sean documentos estáticos.
• Define marcos: Establece el Apetito (cuánto riesgo queremos asumir), la Tolerancia (el margen de desviación aceptable) y el Umbral (la capacidad máxima de respuesta).
• Cultura: Evangeliza para que cada empleado sepa qué riesgos gestiona.

2. Auditoría Interna: Los ojos independientes

Auditoría Interna (o Control Interno) es la tercera línea de defensa. Su valor radica en su independencia. Conocen la estrategia y el negocio, pero no meten las manos en la operación diaria.

¿Qué SÍ hace Auditoría Interna?

• Evalúa: Verifica si lo que dicen los manuales y políticas se cumple en la realidad.
• Recomienda: Emite hallazgos y oportunidades de mejora basados en evidencia.
• Vigila: Hace seguimiento a los planes de remediación para asegurar que las brechas se cierren.

¿Qué NO debe hacer nunca Auditoría? (La "Línea Roja")

• No diseña controles.
• No gestiona riesgos ni define el apetito de riesgo.
• No toma decisiones operativas.
• No es dueño de la matriz de riesgos.

Regla de oro: Un auditor puede identificar un riesgo nuevo durante su revisión, pero no debe incluirlo él mismo en la matriz. Su deber es recomendar al área correspondiente que lo evalúe.

El peligro de la "Autoauditoría"

El mayor riesgo de gobierno corporativo es perder la independencia.Cuando las mismas personas diseñan el control y luego lo auditan, se convierten en "juez y parte".

Consecuencias de mezclar roles:

1. Conflicto de interés: Se ocultan fallas para evitar quedar mal.
2. Subjetividad: Los hallazgos pierden credibilidad ante la alta dirección.
3. Ceguera de taller: Al estar inmerso en la operación, se dejan de ver riesgos obvios.
4. Sanciones: Mayor exposición a multas por incumplimiento normativo externo.

El Modelo de las 3 Líneas de Defensa (Simplificado)

Para evitar choques, utiliza este esquema estándar:

• 1ª Línea (Operación): Los dueños de los procesos. Ellos viven el riesgo día a día, lo identifican y ejecutan los controles.
• 2ª Línea (Riesgos y Cumplimiento): Supervisan, definen metodología y aseguran que la 1ª línea haga su trabajo.
• 3ª Línea (Auditoría Interna): Aseguramiento independiente. Reportan directamente al Comité de Auditoría o Alta Dirección, no a la gerencia operativa.

¿Auditar es duplicar trabajo?

No, si se tienen enfoques distintos. A menudo se piensa que Auditoría y Riesgos hacen lo mismo, pero sus lentes son diferentes:

• Enfoque de Riesgos: Mira hacia el futuro (incertidumbre). Evalúa si el diseño del control es efectivo para mitigar un riesgo potencial.
• Enfoque de Auditoría: Mira la evidencia (hechos). Evalúa si el control se ejecutó tal como estaba documentado.

Tipos de auditoría para mantener el orden

Para mantener la objetividad, una auditoría debe tener un apellido claro:

• Auditoría de Procesos: Revisa documentación vs. ejecución.
• Auditoría Basada en Riesgos: Usa la matriz de riesgos como mapa para priorizar qué revisar.
• Auditoría de Proyectos/Activos: Valida cronogramas y mantenimiento.

Conclusión: Complementarios, no rivales

Una organización madura entiende que la gestión de riesgos y la auditoría interna son aliados estratégicos.

• Gestión de Riesgos le dice a la empresa: "Cuidado, el suelo está resbaloso aquí".
• Auditoría Interna verifica: "¿Pusieron el cartel de piso mojado que dijeron que pondrían?"

Ambos protegen el valor de la compañía, pero solo funcionan si se respetan sus límites.