Linkedin
Facebook
Email
more
La confusión que cuesta valor
Una organización puede tener controles implementados mediante políticas, procedimientos, autorizaciones y conciliaciones impecables y, aun así, carecer de una dirección estratégica clara, de supervisión independiente o de mecanismos eficaces de rendición de cuentas. También puede contar con un Consejo y Comités formalmente constituidos y activos, pero presentar debilidades en sus procesos operativos, información poco confiable, controles débiles o riesgos sin abordar.
Contar con estructuras de gobierno y controles documentados no garantiza, por sí solo, su efectividad.
La diferencia es fundamental: el gobierno corporativo establece cómo se dirige, se supervisa y se exige responsabilidad a la organización; el control interno proporciona procesos y mecanismos para gestionar riesgos y ofrecer seguridad razonable sobre el logro de los objetivos. No son sinónimos ni uno reemplaza al otro.
Ambos son complementarios y comparten un propósito: fortalecer la capacidad de la organización para tomar decisiones informadas, gestionar sus riesgos y generar valor sostenible.
1. Dos preguntas distintas, un mismo interés
Aunque el gobierno corporativo y el control interno tienen responsabilidades diferenciadas, ambos forman parte de un sistema integral de dirección, supervisión y gestión empresarial.
| Gobierno corporativo | Control interno |
|---|---|
| ¿Quién decide, supervisa y rinde cuentas? | ¿Cómo se ejecutan las decisiones con riesgos controlados? |
| Define estructuras, facultades, supervisión, incentivos y transparencia. Promueve la alineación entre la estrategia, el desempeño, la gestión de riesgos y las expectativas de las partes interesadas. | Diseña y opera controles, responsabilidades, información y seguimiento. Contribuye a la eficiencia operativa, a la confiabilidad de la información y al cumplimiento de las obligaciones aplicables. |
| Referencias: Principios G20/OCDE de Gobierno Corporativo (2023); Código de Principios y Mejores Prácticas de Gobierno Corporativo (2025); legislación y regulación aplicables; estatutos y códigos internos. | Referencia: COSO Internal Control—Integrated Framework (2013), con cinco componentes y 17 principios. |
| Responsables típicos: accionistas, Consejo, comités y alta dirección, según sus respectivas atribuciones. | Responsables típicos: la dirección y los dueños de procesos; la supervisión del Consejo y la evaluación independiente de la auditoría interna. |
¿Cómo se relacionan?
El Consejo define expectativas y supervisa; la dirección traduce esas expectativas en procesos, controles y evidencia; y un tercer actor, la auditoría interna, puede aportar aseguramiento independiente, sin asumir la operación de los controles.
Es importante destacar que el propio marco COSO reconoce la responsabilidad de supervisión del Consejo como parte de su primer componente, el ambiente de control. Por ello, ambos marcos no deben entenderse como estructuras aisladas, sino como elementos interrelacionados.
2. Un ejemplo que cualquier director reconoce
Una empresa aprueba la expansión a una nueva región, la apertura de una planta, una adquisición, la compra de activos, etc.
Desde el gobierno corporativo se evalúan la estrategia, el apetito de riesgo, las facultades para aprobar inversiones, los conflictos de interés y los reportes que recibirá el Consejo.
Desde el control interno se establecen límites de autorización, debida diligencia de proveedores, segregación de funciones, controles presupuestales, conciliaciones, indicadores y monitoreo de desviaciones, entre otros.
Una decisión estratégica adecuada puede arrojar resultados desfavorables si su ejecución carece de controles efectivos.
Una operación bien controlada tampoco garantiza buenos resultados cuando responde a decisiones estratégicas inadecuadas.
El gobierno corporativo contribuye a orientar y supervisar las decisiones; el control interno ayuda a ejecutarlas de manera consistente, gestionando los riesgos asociados.
3. Señales de madurez: del papel a lo tangible
La madurez del gobierno corporativo y del control interno no se determina por la cantidad de políticas, comités o procedimientos existentes, sino por su aplicación efectiva y su contribución a los resultados del negocio.
La siguiente escala ilustrativa permite identificar características que pueden observarse en distintos niveles de desarrollo organizacional.
| Nivel | Gobierno corporativo | Control interno |
|---|---|---|
| 1. Reactivo | Decisiones centralizadas; roles ambiguos; reuniones sin seguimiento. | Controles informales y dependientes de personas. |
| 2. Básico | Órganos y reglamentos definidos; agendas y actas. | Procesos críticos documentados; controles clave identificados. |
| 3. Estandarizado | Comités con mandatos claros; indicadores y rendición de cuentas. | Matrices de riesgo-control, responsables, evidencias y pruebas periódicas. |
| 4. Integrado | Estrategia, riesgos, inversiones y desempeño conectados. | Controles integrados a procesos y tecnología; remediación priorizada. |
| 5. Adaptativo | Supervisión prospectiva; evaluaciones de efectividad y mejora continua. | Monitoreo continuo y analítica para anticipar fallas. |
Escala ilustrativa de diagnóstico, no es una certificación oficial de COSO ni del Código de Principios y Mejores Prácticas de Gobierno Corporativo. La madurez debe evaluarse por el diseño, la operación y los resultados, no por el volumen de documentos.
El objetivo no es alcanzar el mayor nivel en todos los procesos, sino desarrollar capacidades proporcionales a los riesgos, complejidad y necesidades del negocio.
4. Cinco acciones para mejorar ambos frentes
Clarificar el diseño de decisiones.
Reto: decisiones sin responsables claramente definidos, duplicidad de funciones o asuntos que no se escalan oportunamente.
Acción recomendada: Aprobar un mapa de facultades, materias reservadas al Consejo, mandatos de comités y responsables ejecutivos; verificar su aplicación en las decisiones reales.
Beneficio esperado: mayor claridad en la toma de decisiones, mayor rendición de cuentas y reducción de vacíos o duplicidades de responsabilidad.
Vincular estrategia, riesgos y controles.
Reto: objetivos estratégicos que no están vinculados a los riesgos relevantes ni a mecanismos efectivos de seguimiento.
Acción recomendada: Traducir los objetivos estratégicos en riesgos relevantes, apetito de riesgo y tolerancias, controles clave e indicadores; elevar las excepciones materiales al órgano correspondiente.
Beneficio esperado: decisiones mejor informadas y una mayor capacidad para identificar oportunamente situaciones que comprometan los objetivos.
Elegir procesos de alto impacto.
Reto: esfuerzos de documentación y control dispersos, sin considerar la exposición real de la organización.
Acción recomendada: Identificar procesos críticos como P2P, tesorería, ingresos, compras, proceso y cierre financiero, ciberseguridad o cumplimiento regulatorio o normativo, según la exposición; evitar documentar e implementar controles de forma indiscriminada.
Beneficio esperado: optimización de recursos y fortalecimiento de los controles en los que pueden generar mayor valor.
Medir efectividad, no actividad.
Reto: indicadores enfocados en el número de políticas emitidas, controles documentados o hallazgos cerrados, sin verificar su impacto.
Acción recomendada: Dar seguimiento a decisiones ejecutadas, hallazgos recurrentes, controles fallidos, pérdidas evitables y tiempos de remediación; solicitar evidencia verificable.
Beneficio esperado: información más útil para la supervisión, priorización de recursos y toma de decisiones.
Instalar un ciclo de mejora.
Reto: iniciativas de fortalecimiento que pierden continuidad o acciones correctivas que no se implementan oportunamente.
Acción recomendada: Asignar resguardo ejecutivo, establecer revisiones trimestrales, responsables y fechas; aprovechar la tercera línea para evaluaciones independientes.
Beneficio esperado: mayor disciplina en la implementación de mejoras y fortalecimiento continuo del sistema de gobierno, riesgos y control.
5. Cómo hacer tangible el cambio en el corto plazo
El fortalecimiento del gobierno corporativo y del control interno no necesariamente requiere transformar todos los procesos simultáneamente.
Una estrategia gradual, basada en riesgos y prioridades, permite identificar oportunidades de mejora y empezar a generar resultados verificables.
| Periodo de tiempo | Entregable verificable | Cambio observable |
|---|---|---|
| 0–30 días | Diagnóstico de brechas; mapa de órganos y decisiones; inventario de riesgos y controles críticos. | Se identifican duplicidades, vacíos y decisiones sin responsable. |
| 31–90 días | Matriz de facultades; agendas y tableros de Consejo; controles prioritarios rediseñados; planes de remediación. | Menos escalaciones ambiguas; evidencia de ejecución y de seguimiento. |
| 91–180 días | Pruebas de efectividad; revisión de indicadores; evaluación de comités; cierre validado de hallazgos. | Menor recurrencia, decisiones oportunas y mayor confiabilidad de la información. |
Los periodos son orientativos y deben ajustarse a la complejidad, los recursos y el nivel de madurez de cada organización. Los resultados dependen de la implementación y efectividad de las acciones.
La clave es avanzar de un diagnóstico de brechas hacia mejoras implementadas, evaluadas y sostenibles.
6. Indicadores que sí importan al Consejo
Los indicadores de gobierno corporativo y control interno deben ir más allá de la medición de actividades realizadas. Su propósito es proporcionar información sobre la exposición al riesgo, la efectividad de los mecanismos de supervisión y la capacidad de respuesta de la organización.
| Dimensión | Indicador de resultado | Cómo medirlo / evidencia | Lectura para la dirección |
|---|---|---|---|
| Gobierno corporativo | Exposición estratégica reducida por decisiones del Consejo | Σ (pérdida esperada antes − pérdida esperada después) de decisiones relevantes; documentar supuestos, tiempo y responsable. | ¿Las decisiones modificaron de forma demostrable el perfil de riesgo? |
| Gobierno corporativo | Decisiones críticas ejecutadas antes del punto de no retorno | Decisiones implementadas dentro de la ventana de mitigación / total de decisiones críticas; validar hitos y efectos. | ¿La supervisión permitió actuar a tiempo y no solo deliberar? |
| Gobierno corporativo | Desviación frente al apetito de riesgo | Exposición residual fuera de tolerancia / exposición total relevante; seguimiento de la duración y la severidad de los excesos. | ¿Se mantiene la estrategia dentro de los límites aprobados? |
| Gobierno corporativo | Pérdidas por riesgos estratégicos materializados | Monto de impactos de riesgos estratégicos realizados, comparado con el escenario esperado y con periodos equivalentes; explicar los factores externos. | ¿La gobernanza anticipa y contiene amenazas relevantes? |
| Control interno | Pérdida esperada mitigada por controles clave | Σ [(probabilidad × impacto) inherente − (probabilidad × impacto) residual] por riesgo; evitar el doble conteo. | ¿Qué magnitud de exposición reducen los controles? |
| Control interno | Eventos de pérdida y severidad residual | Frecuencia y monto de pérdidas operativas, fraude, errores y sanciones por unidad de exposición; tendencia y causas. | ¿Disminuye el daño real, ajustado por volumen y contexto? |
| Control interno | Riesgos materializados pese a controles críticos | Eventos relevantes ocurridos con controles diseñados como barrera / total de eventos relevantes; analizar fallas de diseño u operación. | ¿Dónde fallaron las barreras que debían prevenir o detectar? |
| Control interno | Tiempo de detección y contención de incidentes | Mediana de horas/días entre ocurrencia, detección y contención; segmentar por criticidad y pérdidas asociadas. | ¿Qué tan rápido se limita el impacto cuando se materializa el riesgo? |
| Visión integrada | Valor económico protegido (estimado) | Escenarios comparables: pérdida esperada sin medida − pérdida esperada con medida, neto de costos; reportar el rango y la sensibilidad. | ¿La inversión en gobierno y control se justifica por la exposición reducida? |
| Visión integrada | Efectividad de acciones correctivas | % de acciones que redujeron la exposición residual según la validación posterior (no solo las acciones cerradas). | ¿La remediación cambió el riesgo o solo completó tareas? |
Cada indicador requiere una línea base, un responsable, una meta y una periodicidad. Una mejora en las métricas no prueba por sí sola la causalidad; debe contrastarse con evidencia y resultados operativos.
Los cambios observados deben analizarse considerando factores internos y externos, evitando atribuir automáticamente cualquier mejora a la implementación de controles.
En organizaciones con mayor madurez en la cuantificación de riesgos, pueden incorporarse métricas adicionales, como pérdidas esperadas, exposición económica mitigada y estimaciones de valor protegido, siempre que existan metodologías, datos y supuestos suficientemente sólidos.
Un indicador aporta valor cuando permite identificar desviaciones, orientar la toma de decisiones y verificar resultados, no únicamente cuando genera información para un reporte.
La pregunta que debería hacerse la alta dirección
No es “¿tenemos gobierno corporativo y control interno?”, sino “¿nuestras decisiones están bien gobernadas y nuestra ejecución está suficientemente controlada para alcanzar los objetivos?”. La madurez aparece cuando las responsabilidades son claras, los riesgos se discuten antes de materializarse y la información permite actuar, no solo reportar.
Un gobierno corporativo efectivo orienta y supervisa las decisiones. Un control interno sólido contribuye a ejecutarlas con disciplina y a gestionar los riesgos. Juntos fortalecen la confianza, la resiliencia y la generación sostenible de valor.
