El Marco COSO: Control Interno y Gestión de Riesgos Empresariales

¿Qué es el Marco COSO?

COSO (The Committee of Sponsoring Organizations of the Treadway Commission) es una organización voluntaria del sector privado, dedicada a proporcionar orientación a la gestión ejecutiva y a las entidades de gobierno sobre los aspectos fundamentales de su organización, la ética empresarial, el control interno, la gestión del riesgo empresarial, el fraude y la presentación de informes financieros. COSO ha establecido un modelo común de control interno con el cual las empresas y organizaciones pueden evaluar sus sistemas de control.

Objetivos del Modelo COSO

Los principales objetivos del marco son:

• Establecer una definición común de control interno que responda a las necesidades de las distintas partes interesadas.
• Facilitar un modelo base con el cual las empresas y otras entidades, independientemente de su tamaño y naturaleza, puedan evaluar sus sistemas de control interno.

El control interno es un proceso realizado por el consejo de directores, administradores y otro personal de una entidad, diseñado para proporcionar una seguridad razonable sobre la efectividad y eficiencia de las operaciones, la confiabilidad de la información financiera y el cumplimiento de las leyes y regulaciones aplicables.

Gestión de Riesgos según COSO

Definición de Riesgo

Se define como la probabilidad de que ocurra un determinado evento que pueda tener efectos negativos para la institución. Los riesgos son uno de los cinco componentes fundamentales del Marco de Control Interno COSO.

Proceso de Gestión de Riesgos

Todas las organizaciones, sin importar su tamaño, naturaleza o estructura, enfrentan riesgos. El objetivo de la Gestión de Riesgos es identificar, controlar y eliminar las fuentes de riesgo de manera sistemática.

Componentes del Marco COSO II (ERM)

1. Ambiente de Control o Ambiente Interno

Es la base fundamental de todos los componentes del ERM (Enterprise Risk Management), aportando disciplina y estructura. Sirve para que los empleados tomen conciencia de los riesgos que se pueden presentar.

2. Establecimiento de Objetivos

Es un paso crucial para la prevención de riesgos, ya que implica la identificación de eventos, una evaluación del riesgo y una clara respuesta a los mismos. La empresa debe tener una meta clara que concuerde con su visión y misión, teniendo en cuenta que cada decisión conlleva un riesgo que debe ser previsto.

3. Identificación de Eventos

Se deben identificar los eventos que afectan los objetivos de la organización, ya sean positivos, negativos o ambos, para poder hacerles frente y gestionarlos de la mejor manera posible. Este proceso permite diagnosticar los eventos como oportunidades o riesgos, para así poder aprovechar las primeras y hacer frente a los segundos.

4. Evaluación del Riesgo

Consiste en la identificación y el análisis de los riesgos relevantes para la consecución de los objetivos. Esta evaluación constituye una base para determinar cómo se deben administrar dichos riesgos.

5. Respuesta al Riesgo

Una vez evaluado el riesgo, la dirección selecciona una respuesta. Las posibles respuestas incluyen:

• Evitarlo: Se discontinúan las actividades que generan el riesgo.
• Reducirlo: Se toman acciones para reducir el impacto o la probabilidad de ocurrencia, o ambas.
• Compartirlo: Se reduce el impacto o la probabilidad al transferir o compartir una porción del riesgo con un tercero.
• Aceptarlo: No se toman acciones que afecten el impacto y la probabilidad de ocurrencia del riesgo.

6. Actividades de Control

Son las políticas y procedimientos establecidos para asegurar que las respuestas al riesgo se lleven a cabo de manera adecuada y oportuna. Pueden ser de distintos tipos:

• Preventivas
• Detectivas
• Manuales
• Computarizadas
• Controles Gerenciales

7. Información y Comunicación

La información es necesaria en todos los niveles de la organización para hacer frente a los riesgos, permitiendo identificarlos, evaluarlos y darles respuesta. La comunicación debe realizarse en sentido amplio y fluir por toda la organización en todas las direcciones. Además, debe existir una buena comunicación con clientes, proveedores, reguladores y accionistas.

8. Monitoreo

Es el proceso que asegura que la administración de los riesgos sea efectiva a lo largo del tiempo y que todos los componentes del marco ERM funcionen adecuadamente. El monitoreo se puede realizar a través de:

• Actividades de monitoreo continuo.
• Evaluaciones puntuales.
• Una combinación de ambas.