Control interno y gestión de riesgos en el sector público
Qué debe dominar el candidato
El control interno es un proceso diseñado para dar seguridad razonable sobre la consecución de objetivos: operacionales, de información y de cumplimiento. El candidato debe conocer el marco de referencia (por ejemplo, COSO adaptado al sector público) y sus cinco componentes: ambiente de control, evaluación de riesgos, actividades de control, información y comunicación, y supervisión. También debe manejar la diferencia entre control interno, control externo y gestión de riesgos, y los conceptos de riesgo inherente, riesgo residual y apetito de riesgo.
Conceptos clave
Matriz de riesgos (probabilidad × impacto); controles preventivos, detectivos y correctivos; segregación de funciones; principio de cuatro ojos; controles clave vs. controles generales; y la relación entre control interno y los hallazgos de auditoría.
Trampas frecuentes
- Confundir control interno (responsabilidad de la administración) con auditoría interna (función de evaluación independiente) y con auditoría externa.
- Creer que el control interno garantiza la ausencia de errores: solo da seguridad razonable, no absoluta.
- Confundir riesgo inherente (antes de controles) con riesgo residual (después de controles).
- Suponer que más controles siempre es mejor: el exceso de controles genera ineficiencia.
- Ignorar que la segregación de funciones es un control preventivo clave.
Ejemplo trabajado
En el área de tesorería, la misma persona autoriza, registra y concilia pagos. Riesgo inherente: alto (posibilidad de fraude). Control propuesto: segregar autorización, registro y conciliación (control preventivo). Riesgo residual tras el control: bajo. Regla de oro: quien autoriza no registra, quien registra no concilia.
Regla mnemotécnica
COSO: A-E-A-I-S (Ambiente, Evaluación, Actividades, Información, Supervisión).