Los controles internos suelen parecer sólidos sobre el papel. El verdadero problema aparece cuando nadie los ha documentado ni se ha responsabilizado de ellos. Una buena checklist de los controles internos convierte la política en algo que realmente se puede verificar y defender en una auditoría.
Esta checklist abarca los ámbitos de control más relevantes para equipos jurídicos, secretarios corporativos y funciones de cumplimiento. Está estructurada para un uso práctico y organizada en torno a los marcos que utilizan los auditores
¿Qué es una checklist de controles internos?
Una checklist de controles internos es una herramienta estructurada para evaluar si los controles clave de una organización, financieros, operativos, de compliance, informáticos y de gobierno, están implantados, funcionan correctamente y proporcionan pruebas trazables de su funcionamiento.
Una checklist sólida vincula cada control a un responsable, una periodicidad de revisión y las pruebas que solicitarán los auditores.
Las checklist de control interno suelen cubrir bien los controles estándar de contabilidad y procesos. Para los equipos jurídicos y las funciones de gobierno corporativo, la checklist debe ir más lejos. Los flujos de aprobación del consejo, las renovaciones de mandatos, la distribución segura de documentos y los plazos de presentación de entidades son controles de gobernanza que una checklist financiera estándar suele omitir.
Esa es la brecha donde reside el verdadero riesgo de auditoría.
Por qué los controles internos son importantes para la gobernanza y el cumplimiento normativo
Unos controles internos sólidos crean la infraestructura de gobernanza que necesitan consejos, reguladores y auditores externos. A partir de ella verifican cómo se tomaron las decisiones y si se cumplieron las normas.
Tres razones hacen que merezca la pena mantener durante todo el año una rigurosa checklist de control interno:
Para los directores jurídicos y los secretarios corporativos que gestionan estructuras complejas con múltiples entidades, esto significa disponer de una única fuente de verdad para los registros de gobernanza en todas las jurisdicciones.
El Marco COSO y los controles internos
El Marco Integrado de Control Interno COSO (Comité de Organizaciones Patrocinadoras) es la referencia estándar para elaborar y evaluar checklist de control interno. Sus cinco componentes se corresponden directamente con los ámbitos que debe abarcar cualquier checklist de control centrada en la gobernanza:
| COMPONENTE COSO | QUÉ CUBRE |
|---|---|
| Entorno de control | Ética organizativa, cultura de gobierno, estructuras de responsabilidad |
| Evaluación de riesgos | Identificación y valoración de riesgos para los objetivos empresariales y de gobernanza. |
| Actividades de control | Políticas y procedimientos que mitigan los riesgos identificados |
| Información y comunicación | Calidad de los datos, estructuras de información, canales de escalado |
| Actividades de seguimiento | Revisión continua de la eficacia de los controles y seguimiento de la auditoría interna |
Una checklist de control interno eficaz vincula cada elemento de control a uno de los cinco componentes del COSO. Esto proporciona a los auditores un marco de referencia familiar y garantiza que no falte nada desde el punto de vista estructural.
Checklist de controles internos
Organizada por ámbitos de control, esta checklist de controles internos abarca las áreas más relevantes para la gobernanza, el cumplimiento y la preparación para auditorías.
Controles financieros
Una checklist de controles internos financieros debe verificar que:
Controles operativos
La sección operativa confirma que los procesos clave están documentados, se siguen sistemáticamente y tienen un responsable asignado:
Controles de compliance
La sección de compliance se centra en las obligaciones normativas y el cumplimiento de las políticas internas:
Controles informáticos y de ciberseguridad
Para las organizaciones que gestionan la gobernanza digitalmente, los controles informáticos son una parte innegociable de cualquier checklist de controles financieros o de un marco más amplio de controles internos:
Controles de acceso y segregación de funciones
Aquí es donde las funciones de gobernanza suelen encontrar sus mayores lagunas al realizar una checklist de auditoría de controles internos:
Controles de documentación y pistas de auditoría
Una checklist de controles internos sin controles de documentación está incompleta. Los auditores trabajan a partir de pruebas. Las organizaciones que pueden presentarlas inmediatamente tienen una ventaja concreta:
Controles de seguimiento y revisión
Esta sección final aborda cómo las organizaciones verifican que sus controles siguen siendo eficaces con el tiempo:
Deficiencias comunes del control interno y riesgos para la gobernanza
Las organizaciones que mantienen su checklist de controles internos de manera informal o carecen de ella, suelen presentar las mismas vulnerabilidades en cada ciclo de auditoría. Según el Informe a las naciones de la ACFE de 2024, más del 50% de los fraudes laborales están relacionados con la falta de controles internos o la elusión de los existentes.
¿Por qué son importantes las plataformas de gobernanza y compliance?
Gestionar una checklist de controles internos manualmente, a través de hojas de cálculo, unidades compartidas e hilos de correo electrónico, es manejable para las organizaciones pequeñas. Para cualquier organización que gestione múltiples entidades, comités o jurisdicciones, este enfoque introduce riesgos que se agravan con el tiempo.
Una plataforma de gobernanza centraliza los flujos de trabajo para los que se han diseñado los controles internos. La gestión de reuniones del consejo, el seguimiento de resoluciones, la renovación de mandatos, la supervisión de entidades jurídicas y los flujos de trabajo del ciclo de vida de los contratos generan pruebas de auditoría automáticamente, sin necesidad de compilación manual antes de cada ciclo de auditoría.
El resultado: un cambio del cumplimiento reactivo a la responsabilidad de gobierno incorporada. Cuando su plataforma mantiene por defecto un registro de auditoría con marca de tiempo, la checklist de los controles internos pasa de ser un documento que se actualiza antes de una auditoría a un registro en tiempo real del funcionamiento real de su organización.
Por qué DiliTrust para la gobernanza y la supervisión del control interno
La plataforma de DiliTrust está diseñada específicamente para los flujos de trabajo de gobernanza que aparecen en todas las checklist de auditoría de controles internos, pero que suelen estar ausentes de las herramientas de GRC genéricas.
Si su organización está preparada para pasar de una checklist de controles internos manual a una plataforma en la que la preparación para auditorías es el estado por defecto, solicite una demostración.
Preguntas frecuentes sobre la checklist de control interno
Como mínimo, una vez al año. Las funciones de gobernanza de alto rendimiento revisan su checklist de controles internos cada vez que se produce un cambio significativo, una actualización normativa, una reestructuración empresarial, la entrada en una nueva jurisdicción o un hallazgo de auditoría relevante
La responsabilidad se comparte entre las distintas funciones: el departamento financiero se encarga de los controles financieros, el de TI de los controles de acceso y ciberseguridad, y el jurídico o de compliance suele encargarse de los controles de gobernanza y documentación. El requisito clave es que cada elemento de control tenga un responsable designado, no solo un departamento.
Una checklist de controles internos define qué controles deben estar implantados y cómo deben funcionar. Una auditoría de controles internos comprueba si dichos controles funcionan realmente según lo previsto. La checklist es el marco; la auditoría es la verificación.
Una checklist de controles financieros se centra en la exactitud financiera, la aprobación de transacciones, las conciliaciones y la prevención del fraude. Una checklist de controles internos centrada en la gobernanza va más allá: registros de las decisiones del consejo de administración, delegación de poderes, presentación de informes de las filiales y documentación de los comités, es decir, los controles que más importan durante las revisiones reglamentarias y las auditorías de gobernanza corporativa.
