Los cinco componentes y los 17 principios de COSO

El marco COSO de control interno, en su versión de 2013, se organiza en cinco componentes: ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, y actividades de monitoreo. Cada componente se desglosa en principios, 17 en total, que son lo que se evalúa en la práctica: cinco en el ambiente de control, cuatro en la evaluación de riesgos, tres en las actividades de control, tres en información y comunicación y dos en monitoreo.

Una forma útil de recordarlos es por su función. El ambiente de control es la base: la cultura, el consejo, las personas. La evaluación de riesgos decide qué amenaza los objetivos. Las actividades de control son lo que se hace para reducir esos riesgos. La información y comunicación hace que lo necesario llegue a quien lo necesita. El monitoreo comprueba que todo lo anterior sigue funcionando.

Abre la tabla de principios del laboratorio y ubica el principio 11.

En una evaluación, una observación se vuelve útil cuando se liga al principio que incumple. Así el hallazgo deja de ser una anécdota («aquí falla algo») y se convierte en una afirmación sobre el sistema de control: «el principio X no está funcionando». Es el mismo trabajo que haría el evaluador al redactar el informe.

El principio 8 pide considerar el potencial de fraude al evaluar los riesgos: incentivos y presiones, oportunidades y racionalización. Un caso típico de reporte financiero es la presión por cumplir metas que lleva a reconocer ingresos antes de tiempo.

El principio 17, el último del marco, tiene dos mitades: evaluar las deficiencias y comunicarlas a las personas responsables de la acción correctiva y, cuando corresponde, a la alta dirección y al consejo. Una deficiencia conocida que nadie corrige y que no sube al nivel que puede decidir no es una falla de ese control: es una falla del monitoreo del sistema entero.

No confundas este principio con el 14, que trata de la comunicación interna en general, como el canal para reportar irregularidades. El 17 es específico de las deficiencias de control ya identificadas.

COSO no se conforma con que existan los cinco componentes: pide que cada componente y sus principios relevantes estén presentes y funcionando, y que los cinco operen de forma integrada. Un buen proceso de actividades de control no compensa un ambiente de control débil: si el consejo no vigila ni nadie responde por sus controles, los controles se aplicarán cuando convenga.

Por eso, al evaluar, no se promedia. Una deficiencia mayor en un componente o en un principio relevante impide concluir que el control interno es eficaz. El principio puede dejarse fuera solo cuando de verdad no es relevante para la empresa, y esa decisión se justifica por escrito.

COSO distingue tres categorías de objetivos: de operaciones, de reporte y de cumplimiento. El control interno de una empresa puede tocar las tres, pero este módulo, y la ley de Estados Unidos conocida como Sarbanes-Oxley (SOX), se ocupa de una en particular. Su sección 404 pide a la administración de las empresas sujetas a ella evaluar el control interno sobre el reporte financiero (en inglés, ICFR) y, para ciertas compañías, que su auditor emita una opinión sobre él.

SOX se aplica a las empresas que cotizan en Estados Unidos. En muchas otras, incluidas empresas de la región y filiales de multinacionales, COSO se usa igual como referencia para evaluar el control sobre el reporte, aunque la ley no las obligue.