Administración y gestión de riesgos: planeación, COSO e ISO 31000
Este dominio evalúa planeación estratégica, diseño organizacional, control interno y administración de riesgos. El examen relaciona herramientas de gestión con situaciones de gobierno corporativo, auditoría interna y continuidad del negocio.
Planeación y organización
- El FODA cruza fortalezas y debilidades internas con oportunidades y amenazas externas; no es una lista, sino insumo de estrategia.
- Objetivos SMART, indicadores KPI y tablero de control permiten medir avance.
- Estructuras funcional, divisional y matricial; tramo de control y equilibrio entre centralización y descentralización.
Control interno y riesgos
- COSO 2013: ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, y supervisión; se despliega en 17 principios.
- ISO 31000: identificación, análisis, evaluación, tratamiento, monitoreo y revisión del riesgo.
- Matriz de riesgo: probabilidad por impacto; riesgo inherente antes de controles y residual después de controles. Apetito y tolerancia definen cuánto riesgo se acepta.
Ejemplo razonado
Un riesgo de fraude en tesorería se valora con probabilidad 4 e impacto 5 en escala de 1 a 5: nivel 20, crítico. La respuesta es mitigar con segregación de funciones, conciliaciones y autorizaciones. Si esos controles reducen la probabilidad a 2 y el impacto a 4, el riesgo residual es 8 y queda dentro de tolerancia.
Errores que cuestan puntos
- Confundir riesgo inherente con residual.
- Suponer que el control interno elimina el riesgo; solo lo reduce a un nivel aceptable.
- Hacer FODA sin cruzar variables ni derivar acciones.
- Evaluar riesgos solo con indicadores financieros e ignorar los operativos y de cumplimiento.