La evaluación del control interno es uno de los ejes centrales de la revisoría fiscal en Colombia. El artículo 207 del Código de Comercio obliga al revisor fiscal a informar oportunamente, por escrito, a la asamblea o junta de socios, a los administradores y, cuando corresponda, a la entidad de inspección, vigilancia o control competente, sobre las irregularidades que se presenten en el funcionamiento de la sociedad y en el desarrollo de sus negocios. A esto se suma lo dispuesto en la Ley 43 de 1990 y en las Normas de Aseguramiento de la Información, adoptadas mediante el Decreto 2420 de 2015 y sus modificaciones, que exigen al revisor fiscal obtener una comprensión adecuada de la entidad y de su sistema de control interno como parte de la planeación y ejecución de su trabajo, conforme a las Normas Internacionales de Auditoría aplicables en el país.
Cumplir con estas obligaciones requiere un conocimiento riguroso de los sistemas de control interno de la organización auditada y de los marcos metodológicos disponibles para evaluarlos de forma técnica y objetiva. El revisor fiscal suele apoyarse en varios de estos modelos a la vez, pues cada uno responde a un enfoque distinto y ninguno cubre por completo las necesidades de evaluación de una organización.
Modelo COSO
El modelo COSO es el marco más utilizado a nivel internacional para el control interno. Busca identificar los eventos que pueden afectar el logro de los objetivos de la organización y gestionar de manera integral los riesgos del negocio, a partir de cinco componentes: ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, y actividades de supervisión.
Aplicar este modelo lleva al revisor fiscal a examinar qué tan real es el compromiso de la administración con la integridad y los valores éticos que dice promover, y no solo qué tan bien redactado está el código de ética. Implica también revisar si la matriz de riesgos se actualiza al ritmo de los cambios del negocio y del entorno regulatorio, y evaluar si las actividades de control diseñadas para los procesos significativos funcionan realmente en la operación diaria, más allá de existir en un manual. A esto se suma la revisión de la calidad de la información que soporta las decisiones de la administración y de los mecanismos de supervisión que permiten detectar deficiencias antes de que se conviertan en hallazgos de auditoría.
La versión de COSO enfocada en gestión de riesgo empresarial (ERM) toma especial relevancia cuando es necesario evaluar la capacidad de la administración para anticipar riesgos estratégicos y no solo financieros u operativos, algo cada vez más pertinente en un entorno económico y regulatorio tan cambiante como el actual.
Modelo COCO
El modelo COCO, desarrollado por el Instituto Canadiense de Contadores Certificados, ofrece orientaciones para el diseño, la evaluación y el reporte de los sistemas de control interno. Su diferencia frente a COSO está en que no entiende el control interno como una estructura de componentes relativamente fija, sino como un proceso vivo que depende del propósito, el compromiso, la aptitud y el aprendizaje continuo de quienes lo ejecutan.
Trabajar con este modelo significa preguntarse si el personal realmente entiende para qué sirve cada control que ejecuta, y no solo si lo ejecuta. También si cuenta con la capacitación y los recursos necesarios para hacerlo bien, y si existen espacios reales de retroalimentación que permitan corregir el sistema con el tiempo. Es un modelo particularmente útil en organizaciones donde el control interno todavía está madurando o donde hay resistencia cultural al cumplimiento normativo, porque permite ir más allá de señalar controles faltantes y explicar por qué la organización no los ha interiorizado.
Modelo Estándar de Control Interno (MECI)
El Modelo Estándar de Control Interno es de obligatorio cumplimiento para las entidades del sector público colombiano, en virtud de la Ley 87 de 1993 y su desarrollo normativo posterior, hoy integrado al Modelo Integrado de Planeación y Gestión (MIPG) a través del Decreto 1499 de 2017. Se organiza en subsistemas, componentes y elementos de control orientados a garantizar el cumplimiento de la función administrativa y el manejo adecuado de los recursos del Estado.
Cuando la revisoría fiscal recae sobre entidades mixtas, empresas industriales y comerciales del Estado o entidades que manejan recursos públicos, conocer el MECI deja de ser opcional. El revisor fiscal debe verificar que existan los subsistemas de control estratégico, de gestión y de evaluación, y que estén articulados con el MIPG aplicable a la entidad. Lo importante no es tanto constatar que la documentación exista —normalmente existe—, sino confirmar que estos controles operen de verdad en la gestión diaria; esa brecha entre lo documentado y lo efectivamente operativo suele ser el mayor riesgo en este tipo de entidades. También corresponde revisar el papel de la oficina de control interno dentro del subsistema de evaluación e informar oportunamente cualquier debilidad relevante a la administración y a los organismos de control.
Modelo de Control Interno COBIT
COBIT, desarrollado por ISACA, es el modelo de referencia para auditar la gestión y el control de los sistemas de información y tecnología. Cobra especial importancia frente a las obligaciones de seguridad de la información previstas en la Ley 1581 de 2012 y sus decretos reglamentarios.
Hoy en día, prácticamente toda la información financiera se procesa y se almacena en sistemas ERP y aplicativos contables, por lo que evaluar el control interno solo sobre los procesos manuales deja por fuera una parte crítica del riesgo. Con COBIT, el revisor fiscal revisa los controles generales de tecnología (gestión de accesos), segregación de funciones dentro de los sistemas, seguridad de la información (y los procedimientos de cambios que se aplican sobre esos sistemas). También verifica los mecanismos de respaldo y de continuidad del negocio ante eventos que puedan afectar la infraestructura tecnológica. Cuando aparecen debilidades en estos controles generales, el problema rara vez se queda en un proceso puntual: termina afectando la confiabilidad de toda la información financiera que depende de esa plataforma.
Modelo de Autoevaluación de Control (AEC)
El modelo de Autoevaluación de Control, conocido internacionalmente como Control Self-Assessment (CSA), consiste en que los propios responsables de cada proceso identifiquen y valoren sus riesgos y controles, normalmente a través de talleres, encuestas o entrevistas. A diferencia de los demás modelos, no parte de una mirada externa e independiente, sino de un ejercicio interno.
El revisor fiscal no reemplaza este ejercicio, pero sí lo aprovecha: cuando una organización cuenta con un programa de autoevaluación maduro, esa información se convierte en evidencia adicional sobre qué tan consciente es el personal operativo frente a los riesgos de su proceso, y puede contrastarse con las pruebas independientes del auditor. Cuando este ejercicio no existe o es incipiente —algo frecuente en compañías que apenas están fortaleciendo su gobierno corporativo—, suele recomendarse como una herramienta complementaria y de bajo costo, sin que esto sustituya en ningún momento la función independiente que le corresponde al revisor fiscal.
Conclusión
Ningún modelo basta por sí solo para sustentar el juicio profesional del revisor fiscal. Cada marco aporta una pieza distinta del análisis:
- COSO aporta la estructura de gestión de riesgo empresarial.
- COCO aporta la mirada sobre la adaptación y el aprendizaje organizacional.
- MECI resulta indispensable cuando hay naturaleza pública o mixta de por medio.
- COBIT resulta insustituible frente al componente tecnológico que hoy soporta toda la información financiera.
- AEC aporta evidencia valiosa sobre la cultura de control desde la propia operación.
La verdadera labor del revisor fiscal está en saber combinar estos marcos según el tipo de entidad, su sector y su nivel de complejidad tecnológica, para llegar a una evaluación que no solo cumpla con el deber legal de informar irregularidades, sino que también le aporte a la administración recomendaciones concretas y priorizadas. Esa combinación de rigor técnico y criterio profesional es, en últimas, lo que distingue una revisoría fiscal de cumplimiento formal de una que efectivamente fortalece el gobierno corporativo de la organización.
Realizado Por: Fredy Alexander Pérez – Asistente Líder de Auditoría.
EL PRESENTE ESCRITO CORRESPONDE A UNA OPINIÓN DE NUESTRA FIRMA. LAS AUTORIDADES TRIBUTARIAS PUEDEN NO ESTAR DE ACUERDO CON NUESTRA POSICIÓN. SI DESEA PROFUNDIZAR AL RESPECTO O REQUIERE UNA ASESORÍA ESPECIALIZADA SOBRE EL TEMA, NO DUDE EN CONTACTARNOS, ESTAMOS PARA SERVIRLE.
