Guía completa para implementar controles internos siguiendo el marco COSO en organizaciones mexicanas
En el entorno empresarial de México, donde la empresa familiar convive con corporativos multinacionales, el término "Control Interno" a menudo se confunde con "burocracia". Nada más lejos de la realidad. Un sistema de control interno robusto es el sistema inmunológico de la organización.
El marco COSO (Committee of Sponsoring Organizations of the Treadway Commission) sigue siendo el estándar de oro global. Sin embargo, su implementación en México suele fallar no por falta de conocimiento técnico, sino por falta de adaptación cultural.
A continuación, presento una guía pragmática para aterrizar el cubo COSO en la realidad operativa mexicana.
1. Ambiente de Control: El "Tono de la Cima" (Tone at the Top)
Este es el cimiento. En México, el respeto a la jerarquía es fuerte, por lo que el ejemplo del dueño o Director General es la única política que realmente importa.
2. Evaluación de Riesgos: Dinámica, no Estática
Muchas empresas hacen un mapa de riesgos una vez al año y lo archivan. COSO exige una evaluación continua.
Implementación: Identificar riesgos operativos (fraude interno, fallas tecnológicas) y externos (cambios regulatorios fiscales, inseguridad). Es vital priorizar: no podemos controlar todo. Enfóquese en los riesgos que amenazan la continuidad del negocio.
3. Actividades de Control: Segregación de Funciones
Aquí es donde ocurre la prevención del fraude.
La Regla de Oro: La persona que autoriza la compra no puede ser la misma que da de alta al proveedor en el sistema ni la que realiza el pago.
Realidad Local: En empresas medianas con poco personal, la segregación perfecta es difícil. En estos casos, se deben implementar controles compensatorios, como revisiones directas y aleatorias por parte de la Gerencia o Auditoría Externa.
4. Información y Comunicación
Un control no sirve si no genera datos o si el empleado no sabe que existe.
5. Supervisión y Monitoreo
El sistema se degrada con el tiempo. Lo que funcionaba en 2024 puede ser obsoleto en 2026.
Auditoría Interna: No como policía, sino como consultor de mejora. Su función es verificar que los controles diseñados en papel realmente operen en la práctica.
Conclusión
Implementar COSO en México no se trata de traducir el manual del inglés al español. Se trata de diseñar controles que entiendan la idiosincrasia local, que sean ágiles y, sobre todo, que aporten valor al negocio. En ASG Risk, creemos que el mejor control no es el que detiene la operación, sino el que le permite correr más rápido con seguridad.