El procedimiento estaba aprobado. La revisión se realizó dentro del plazo establecido. El responsable dejó constancia de su conformidad y la evidencia quedó archivada. Semanas después, la organización sufrió una pérdida operacional.

Durante la investigación, alguien formuló una pregunta que parecía razonable: “¿Por qué falló el control?”. La respuesta sorprendió al equipo. El control no había fallado, al menos no en la forma en que se estaba evaluando. Se ejecutó conforme al procedimiento, dentro de la frecuencia prevista y con la documentación correspondiente. Sin embargo, no consiguió evitar la pérdida.

Esta situación, más frecuente de lo que nos gustaría reconocer, plantea una cuestión importante para la gestión del riesgo operacional: ¿Estamos midiendo si los controles se ejecutan o si realmente cumplen el propósito para el que fueron diseñados?

Cuando cumplir el procedimiento no es suficiente

Durante años, muchas organizaciones han construido sus mecanismos de control alrededor de una lógica comprensible: definir una actividad, asignar un responsable, establecer una frecuencia y conservar evidencia de su ejecución. Es una base necesaria para cualquier sistema de control interno sin embargo, el problema aparece cuando esa estructura se convierte en el principal criterio para evaluar la efectividad.

Pensemos en una revisión mensual de operaciones excepcionales. El responsable recibe un reporte, verifica determinados campos y confirma que la revisión se realizó. El registro queda completo. Pero el reporte no incluye todas las excepciones relevantes porque su lógica de extracción no fue actualizada después de un cambio en el sistema.

La revisión se ejecutó correctamente. El problema es que estaba revisando información incompleta.

En este caso, pedir al responsable que revise con mayor atención no resolverá la debilidad. El origen está en el diseño del control y en la calidad de la información que utiliza.

Un control puede funcionar exactamente como fue diseñado y, aun así, resultar insuficiente para gestionar el riesgo.

La evidencia demuestra ejecución, no necesariamente protección

En auditorías, autoevaluaciones y revisiones de control interno, la evidencia tiene un papel fundamental, necesitamos demostrar quién realizó una actividad, cuándo, bajo qué condiciones y con qué resultado, sin esa trazabilidad, evaluar el funcionamiento de un control sería mucho más difícil.

Pero existe una diferencia entre tener evidencia de ejecución y contar con evidencia de efectividad. Una lista de verificación firmada demuestra que alguien completó una revisión. No demuestra, por sí sola, que la revisión tenía la capacidad de detectar el error que posteriormente ocasionó una pérdida.

Un reporte de conciliación demuestra que se ejecutó un procedimiento. No necesariamente que todas las partidas relevantes fueron incluidas, investigadas y resueltas oportunamente.

Una capacitación demuestra que las personas participaron. No garantiza que actuarán correctamente ante una situación de presión o una operación inusual.

La evidencia es indispensable, pero debemos ser cuidadosos con lo que realmente permite concluir.

El riesgo cambia, pero los controles no siempre cambian con él

Imaginemos una entidad financiera que incorpora nuevos canales digitales, automatiza operaciones y aumenta significativamente su volumen transaccional. Los procesos evolucionan, las amenazas también.

Sin embargo, algunos controles permanecen prácticamente iguales. La revisión que antes resultaba suficiente para cientos de operaciones manuales ahora intenta supervisar miles. El control manual diseñado para detectar excepciones específicas sigue utilizando criterios definidos años atrás.

Las aprobaciones continúan realizándose, pero ya no consideran nuevas formas de fraude, nuevas dependencias tecnológicas o cambios en la naturaleza de las transacciones.

El control sigue apareciendo en la matriz de riesgos, incluso puede estar calificado como efectivo, pero la exposición que debía mitigar ya no es la misma.

Esta es una de las razones por las que la evaluación de controles no debería limitarse a comprobar su ejecución histórica. También necesitamos preguntarnos si siguen siendo adecuados frente al escenario actual.

No todos los controles que se ejecutan reducen el riesgo

Una organización puede tener decenas de controles asociados a un proceso crítico. Algunos son preventivos. Otros detectivos. Algunos permiten corregir errores y otros sirven principalmente para documentar lo ocurrido. Todos pueden aportar valor, pero no necesariamente tienen el mismo peso para evitar una pérdida material.

Supongamos que un proceso de pagos cuenta con múltiples verificaciones administrativas, revisiones posteriores y conciliaciones periódicas, sin embargo, una operación fraudulenta puede ejecutarse porque el mecanismo de autorización permite que una misma identidad concentre funciones incompatibles.

Podríamos añadir nuevas revisiones y aumentar la frecuencia de los reportes, pero mientras no se trate la debilidad en la autorización, el riesgo principal continuará presente.

Aquí aparece una pregunta incómoda: ¿Estamos fortaleciendo las barreras que realmente protegen el proceso o simplemente aumentando las actividades de control?

La respuesta requiere comprender cómo se materializa el riesgo, qué condiciones lo hacen posible y en qué momento un control puede interrumpir esa secuencia.

La diferencia entre diseño, ejecución y efectividad

Para evitar confusiones, conviene distinguir tres dimensiones:

Diseño del control. ¿Está preparado para prevenir, detectar o corregir el escenario de riesgo que pretende tratar?

Funcionamiento del control. ¿Se ejecuta consistentemente, con información confiable, por las personas o sistemas correspondientes?

Efectividad frente al riesgo. ¿Existe evidencia suficiente de que contribuye a reducir la probabilidad o las consecuencias del evento?

Estas dimensiones están relacionadas, pero no son equivalentes. Un control bien diseñado puede ejecutarse de manera deficiente. Uno ejecutado correctamente puede tener un diseño insuficiente y un control aparentemente efectivo puede perder capacidad de protección cuando cambian el proceso, la tecnología o las amenazas. por eso, una evaluación seria necesita algo más que revisar documentos.

En determinados casos será necesario realizar pruebas, analizar excepciones, contrastar fuentes de información, simular escenarios o examinar incidentes que ocurrieron a pesar de la existencia de controles.

¿Qué nos dicen los incidentes sobre nuestros controles?

Cuando ocurre una pérdida operacional, solemos concentrarnos en identificar la causa inmediata.

Pero el incidente también ofrece una oportunidad para revisar el sistema de control.

¿Qué controles debían evitarlo?

¿Cuáles debían detectarlo antes de que generara consecuencias?

¿Se ejecutaron?

¿Disponían de información suficiente?

¿Sus responsables tenían capacidad para actuar?

¿Las alertas llegaron oportunamente?

¿Existían señales previas que no fueron interpretadas?

Estas preguntas permiten distinguir entre una falla de ejecución, una debilidad de diseño y una exposición que no había sido contemplada. También ayudan a evitar respuestas superficiales, como incorporar una nueva revisión sin comprender por qué las anteriores resultaron insuficientes.

No toda pérdida demuestra que todos los controles fallaron. Existen riesgos que no pueden eliminarse por completo. Lo importante es determinar si los controles funcionaron dentro de lo esperado y si el nivel de riesgo residual sigue siendo aceptable.

El problema de los indicadores demasiado optimistas

Un dashboard de control interno puede mostrar resultados excelentes:

98 % de controles ejecutados.

95 % de revisiones completadas.

100 % de capacitaciones realizadas.

92 % de planes de acción cerrados.

Son datos útiles para evaluar disciplina operativa, pero no necesariamente explican cuánto riesgo estamos controlando.

Para complementar esa información, podríamos incorporar indicadores como la recurrencia de incidentes pese a controles existentes, la proporción de controles críticos con efectividad comprobada, las excepciones no detectadas oportunamente o las pérdidas vinculadas con debilidades conocidas.

También sería importante observar cuánto tiempo permanece un control crítico sin ser probado después de un cambio relevante, la intención no es reemplazar los indicadores tradicionales. Es evitar que una excelente ejecución administrativa produzca una sensación de seguridad que no esté respaldada por resultados.

La conversación que debería llegar al Comité de Riesgos

Cuando se informa que el 97 % de los controles fue ejecutado satisfactoriamente, es natural interpretar el resultado como positivo.

Pero convendría profundizar.

¿Qué riesgos materiales están cubiertos por ese porcentaje?

¿Qué controles protegen los servicios más críticos?

¿Cuáles dependen de revisiones manuales?

¿Qué escenarios podrían materializarse aunque todos los controles se ejecutaran según lo previsto?

¿Tenemos evidencia de que los controles críticos pueden responder ante esos escenarios?

Y, especialmente: ¿Qué hemos aprendido de las pérdidas que ocurrieron a pesar de nuestros controles?

Estas preguntas permiten trasladar la conversación desde el cumplimiento de actividades hacia la protección efectiva del negocio.

Reflexión final

Los controles no existen para producir evidencias, completar listas de verificación o mejorar indicadores.

Existen para tratar riesgos.

Eso no significa que debamos dejar de documentarlos, medir su ejecución o exigir responsabilidades. Todo ello continúa siendo necesario.

Pero necesitamos reconocer sus límites.

Un control ejecutado no siempre es un control adecuado.

Un control documentado no siempre es un control efectivo.

Y una matriz con numerosas actividades de control no garantiza que la organización esté suficientemente protegida.

La próxima vez que una pérdida operacional ocurra a pesar de que todos los controles aparecían en verde, quizá no deberíamos comenzar preguntando quién dejó de cumplir el procedimiento.

Deberíamos considerar otra posibilidad:

¿Y si el problema no fue que el control dejó de funcionar, sino que nunca tuvo la capacidad suficiente para evitar ese riesgo?

Porque en gestión del riesgo operacional, lo importante no es solamente demostrar que controlamos.

Es demostrar qué riesgos estamos consiguiendo controlar realmente.

ALGERisk Corporation — Generando cultura de riesgos