El COSO ERM se basa en cinco componentes:
- Gobernanza y cultura
- Estrategia y establecimiento de objetivos
- Rendimiento
- Revisión y modificación
- Información, comunicación y presentación de informes
La auditoría interna suele utilizar el COSO ERM como marco de gestión de riesgos operativos para determinar si los esfuerzos de gestión de riesgos de una organización se ajustan a su estrategia y si la información sobre riesgos fluye adecuadamente hacia el equipo directivo.
El papel de la auditoría interna en la gestión del riesgo operativo
La auditoría interna desempeña un papel fundamental como proveedor independiente de aseguramiento dentro del modelo de gobernanza de la organización. Al ofrecer información y asesoramiento objetivos, los auditores evalúan la eficacia de las prácticas de gestión del riesgo operativo (ORM) y apoyan la mejora continua de la supervisión del riesgo.
Evaluación del marco de gestión de riesgos operativos
El primer paso para la auditoría interna es determinar si la organización ha establecido un marco formal de ORM que se ajuste a sus objetivos estratégicos, requisitos normativos y estándares del sector. Esta evaluación implica revisar cómo la organización identifica, evalúa y responde a los riesgos. Los auditores examinan las metodologías utilizadas para la identificación de riesgos, los criterios aplicados en las evaluaciones de riesgos y la calidad de la documentación relativa a las respuestas a los riesgos. Además, revisan el uso de indicadores clave de riesgo (KRI), los protocolos para la notificación y escalada de riesgos, y la asignación de funciones y responsabilidades para la propiedad de los riesgos.
Prueba de los controles operativos
Los auditores internos suelen tener más experiencia en la evaluación del diseño y la eficacia de los controles internos. En esta fase, los auditores revisan la documentación de los procesos, realizan simulacros y llevan a cabo pruebas de control para determinar si los controles operativos clave funcionan según lo previsto. Identifican las deficiencias o ineficiencias de los controles y ofrecen recomendaciones para mejorar el entorno de control.
Evaluación de la cultura de riesgo y la gobernanza
Una cultura de riesgo saludable influye en la eficacia de la gestión del riesgo operativo. La auditoría interna evalúa la cultura de riesgo de la organización analizando el tono en la cúpula directiva, la concienciación de los empleados y los esfuerzos de formación, el proceso de escalamiento de los problemas de riesgo y la capacidad de respuesta del equipo directivo ante los riesgos identificados. Una cultura de riesgo sólida favorece una mejor toma de decisiones y la asunción de riesgos en toda la organización.
Validación de las evaluaciones de riesgos
La auditoría interna revisa cómo se llevan a cabo las evaluaciones de riesgos en toda la organización y cuestiona los supuestos subyacentes cuando es necesario. Esto incluye verificar la documentación relacionada con las evaluaciones de riesgos para garantizar la coherencia y la justificación de las calificaciones de riesgo, asegurarse de que se incorporen los riesgos emergentes y confirmar que el apetito de riesgo y los umbrales de tolerancia estén claramente definidos y se respeten. Estas validaciones ayudan a alinear las evaluaciones de riesgos con las exposiciones reales de la empresa.
Asesoramiento sobre estrategias de riesgo operativo
Sin perder su independencia, la auditoría interna puede proporcionar un apoyo proactivo para reforzar las estrategias de riesgo operativo. Los auditores pueden participar en grupos de trabajo sobre gestión de riesgos, aportar ideas para el diseño de estructuras de información sobre riesgos y proporcionar información sobre los riesgos emergentes. Estas contribuciones pueden ayudar a mejorar la madurez y la capacidad de respuesta de la postura de la organización frente al riesgo.
Retos a los que se enfrenta la auditoría interna en la gestión del riesgo operativo
La gestión del riesgo operativo abarca un amplio espectro de temas, lo que plantea varios retos para la auditoría interna. Una cuestión clave es la rápida evolución del riesgo, especialmente en áreas impulsadas por la tecnología, como la inteligencia artificial o el blockchain, donde el ritmo del cambio puede superar los enfoques de auditoría tradicionales. Además, los recursos limitados hacen que los auditores no puedan ser expertos en todas las áreas. También es difícil encontrar el equilibrio entre ofrecer apoyo consultivo y mantener la independencia. Por último, la recopilación de datos fiables y completos sobre los riesgos sigue siendo un obstáculo, ya que la información suele estar fragmentada o incompleta.
Para hacer frente a estos retos, muchos equipos de auditoría interna están invirtiendo en la mejora de las competencias, aprovechando el análisis de datos y estableciendo relaciones de trabajo más estrechas, pero independientes, con sus homólogos de gestión de riesgos. El establecimiento de relaciones más sólidas fuera de la auditoría crea una colaboración más abierta y comprensiva. Estos esfuerzos son esenciales para garantizar que la auditoría interna siga siendo un socio relevante y estratégico en la supervisión del riesgo operativo.
¿Hacia dónde se dirige la auditoría interna?
El papel de la auditoría interna en la gestión del riesgo operativo no es estático, sino que está creciendo y cambiando rápidamente. Algunas de las tendencias que configurarán el futuro son:
- Hacer frente a los riesgos tecnológicos emergentes, como las vulnerabilidades de la IA y el SaaS.
- Hacer frente a un mayor escrutinio regulatorio, especialmente en sectores críticos.
- Avanzar hacia una gestión integrada de riesgos que conecte los riesgos operativos, estratégicos y de cumplimiento.
- Adoptar la auditoría ágil para mantener la flexibilidad y la capacidad de respuesta
Los equipos de auditoría que acepten estos cambios sin renunciar a sus principios fundamentales de aseguramiento ayudarán a sus organizaciones a prosperar en tiempos de incertidumbre.
La auditoría interna como aliada estratégica en la gestión de riesgos operativos (ORM)
Los riesgos operativos no van a desaparecer. De hecho, cada vez son más complejos. Las empresas pueden gestionarlos adecuadamente con marcos sólidos, un liderazgo claro y un esfuerzo de aseguramiento inteligente. La auditoría interna no se limita a detectar errores. Se trata de garantizar que las medidas de gestión de riesgos funcionen, ayudar a las empresas a evitar desastres costosos y convertir la gestión eficaz de riesgos en una ventaja competitiva. En un mundo en el que las perturbaciones son habituales, contar con la auditoría interna como socio estratégico en la gestión de riesgos operativos no solo es beneficioso, sino que supone una ventaja estratégica.
