Comparativa COSO y ISO 31000: Gestión de Riesgos Empresariales

Semejanzas entre COSO y ISO 31000 en la Gestión de Riesgos

Ambos marcos de gestión de riesgos, COSO y la norma ISO 31000, comparten puntos clave que impulsan a las organizaciones hacia una administración más efectiva de sus riesgos.

1. Estímulo a la Gestión de Riesgos

Las organizaciones prosperan al asumir riesgos calculados y enfrentan pérdidas cuando no los administran adecuadamente. Tanto COSO como ISO 31000 incentivan a las organizaciones a asumir riesgos de manera controlada.

2. Estándares Orientativos y No Certificables

A diferencia de normas certificables como la ISO 9001, tanto COSO como ISO 31000 son orientativos. Esto significa que cada empresa debe comprender las directrices y adaptarlas a sus aspectos culturales y necesidades específicas.

3. Actualización Reciente

• COSO se actualizó en 2017.
• ISO 31000 tuvo su última revisión en 2018.

Estas actualizaciones recientes traen consigo mejoras, simplifican su comprensión e implementación, y atienden las demandas más actuales del mercado.

4. Gestión de Riesgos en la Toma de Decisiones

Ambos marcos buscan asegurar que la organización esté asumiendo los riesgos correctos en la cantidad adecuada, integrando la gestión de riesgos como un pilar fundamental en la toma de decisiones.

Diferencias Clave entre COSO y ISO 31000

A pesar de sus similitudes, existen diferencias notables en la estructura, origen, público objetivo, enfoque y tratamiento de conceptos específicos.

1. Estructura y Extensión

• ISO 31000:2018: Desarrollada por una organización de estándares internacionales, presenta una estructura más estandarizada y concisa, con solo 16 páginas. Es objetiva y directa.
• COSO: Es un marco considerablemente más extenso, superando las 100 páginas. Incluye más recursos visuales y no sigue un estándar estructural tan definido como la ISO.

2. Origen y Desarrollo

• ISO 31000:2018: Su desarrollo contó con la participación de miembros de más de 70 países, reflejando una perspectiva global.
• COSO: Su origen está mayormente ligado a Estados Unidos, con una participación significativa de PricewaterhouseCoopers (PwC), una reconocida firma de auditoría y consultoría.

3. Público Objetivo

• COSO: Está dirigido principalmente a fines de contabilidad y auditoría, creado para satisfacer las necesidades de los auditores.
• ISO 31000: Surgió involucrando a profesionales de diversas áreas y con distintas necesidades de gestión de riesgos. Muchas organizaciones que ya utilizan sistemas de gestión basados en normas ISO tienden a optar por la ISO 31000 para mantener la coherencia.

4. Enfoque Principal

• COSO: Debido a su origen, tiende a concentrarse más en la gobernanza corporativa.
• ISO 31000: Se enfoca casi exclusivamente en el riesgo, integrándolo de manera explícita en el proceso de planificación estratégica.

5. Estructura y Procesos de Gestión de Riesgos

• ISO 31000: Proporciona una distinción clara entre los conceptos de Estructura y Proceso. Aunque su proceso presentado es simple, entra en detalles sobre la identificación y evaluación de riesgos.
• COSO: Combina estos dos conceptos. Sin embargo, solo uno de sus cinco componentes menciona explícitamente el proceso de gestión de riesgos.

6. Tratamiento del Apetito por el Riesgo

• La versión inicial de ISO 31000 (2009) no abordaba el concepto de apetito por el riesgo. La versión de 2018 lo menciona brevemente bajo el término "criterios" de riesgo, utilizando una terminología distinta a otros recursos.
• La versión 2017 de COSO discute el apetito por el riesgo con mucha mayor amplitud, ofreciendo ejemplos visuales detallados sobre los conceptos de apetito, tolerancia y capacidad de riesgo.

7. Riesgos vs. Alcance de los Objetivos

• Aunque la versión 2017 de COSO se centra más en el alcance de los objetivos, algunos interpretan que aún incentiva la "búsqueda" del riesgo o está centrada en el riesgo en sí mismo. El propósito fundamental de la gestión de riesgos es crear y proteger valor, no solo minimizar riesgos.
• La ISO 31000, si bien no al nivel que algunos desearían, pone un mayor énfasis en ayudar a la organización a alcanzar sus objetivos, en lugar de centrarse únicamente en evitar las consecuencias negativas de los riesgos.