Rendir cuentas, acuerdos y seguimiento

El modelo de las tres líneas del Instituto de Auditores Internos (IIA, 2020) describe la rendición de cuentas sin pretender que sea una pirámide: el órgano de gobierno responde ante las partes interesadas de la supervisión de la organización; la dirección (primera línea, que opera, y segunda línea, que da experiencia y vigila riesgo y cumplimiento) gestiona el riesgo para lograr los objetivos; y la auditoría interna da aseguramiento independiente sobre cómo se hace.

Para un acuerdo del consejo, eso significa que su responsable lo ejecuta y alguien distinto, con independencia, comprueba que se hizo.

Un acuerdo sin responsable no es un acuerdo: es una intención. La forma más rápida de revisarlos es leer la lista con la fecha de corte a la vista y mirar tres columnas: responsable, fecha límite y evidencia. Un acuerdo vencido y sin responsable es el caso peor, porque nadie sabe que debería estar haciéndolo.

La consola tiene los seis acuerdos y la fecha de corte de la sesión.

Otro caso es el acuerdo que sí tiene responsable, ya venció y el estado sigue en «abierto» sin nada que lo demuestre. Esa fila es la pregunta natural del consejo: «¿qué pasó?». La respuesta puede ser un retraso justificado, una prioridad cambiada o un incumplimiento, y cada una pide una acción distinta. Lo que no es aceptable es que se descubra en la sesión porque nadie lo trajo.

La tabla de verificación dice quién comprueba el cumplimiento de cada acuerdo. Una verificación hecha por el mismo responsable no es independiente: es una declaración de buena fe. No siempre hay mala intención, pero el consejo no puede apoyarse en ella como evidencia, y es la clase de falla que un auditor señalaría primero.