El modelo de tres líneas y sus malas lecturas

El modelo de tres líneas del Instituto de Auditores Internos (IIA), en su versión de 2020, describe cómo se organizan los roles para que una organización alcance sus objetivos y proteja su valor. Tiene seis principios y una idea central: un órgano de gobierno (el consejo) rinde cuentas a los interesados y delega la ejecución en la administración. Dentro de la administración, los roles de primera línea entregan productos y servicios y manejan el riesgo en su operación; los de segunda línea ayudan a gestionarlo con experiencia, apoyo, monitoreo y cuestionamiento. La tercera línea, auditoría interna, da aseguramiento y asesoría independientes al órgano de gobierno.

La versión anterior se llamaba «tres líneas de defensa» y se leía como una muralla de tres capas. La de 2020 dejó de hablar de defensa: habla de roles que se combinan para crear y proteger valor. Las líneas no son tres departamentos. Un mismo equipo puede tener tareas de primera y de segunda línea; lo que no puede perder es la independencia de la tercera.

Las malas lecturas más comunes son cuatro: creer que cada línea es un departamento, creer que la primera línea «no hace gestión de riesgo» y la deja a otros, creer que la segunda línea es la policía de la primera, y creer que la tercera línea sirve para arreglar lo que se rompió. Ninguna es cierta, pero las cuatro se ven en los organigramas, porque alguien pegó la etiqueta sin mirar la actividad.

Un criterio práctico para clasificar un área es mirar qué hace con los controles. Quien opera un control, es decir, lo ejecuta día a día, hace trabajo de primera línea, lleve la etiqueta que lleve. Abre en la consola el organigrama de Sol y Luna y compara la línea declarada de cada área con la columna de los controles que opera.

La tercera línea es independiente porque no toma decisiones que le corresponden a la administración. Si aprueba pagos, autoriza accesos o elige proveedores, después no puede auditarlos con objetividad: estaría revisando sus propias decisiones. El modelo lo pide así: independencia respecto de las responsabilidades de la administración, acceso libre a personas y datos, y rendición de cuentas al órgano de gobierno.

En el organigrama de Sol y Luna hay otra señal de lo mismo: varias áreas de control comparten el superior directo. Cruza el superior de cada una con la columna de tareas de gestión.

Corregir un organigrama no es cambiar etiquetas. Un arreglo útil toca las dos cosas que sostienen la independencia: a quién rinde cuentas la tercera línea y qué decisiones toma. En Sol y Luna, la tabla de órganos dice quién recibe el informe del Comité de auditoría y la de áreas dice a quién reporta Auditoría interna. Léelas juntas antes de elegir.