Dominar la evaluación de riesgos del control interno: pasos clave para fortalecer su negocio.

Las empresas con visión de futuro, centradas en maximizar el valor, reconocen que el riesgo debe influir en cada decisión, ya que puede potenciarlo, mantenerlo o comprometerlo. Sin embargo, en lugar de intentar eliminar o evitar los riesgos por completo, gestionan la exposición al riesgo para lograr el equilibrio adecuado. 

Este enfoque parte de la comprensión de que el riesgo es inherente a las operaciones cotidianas, y que debe existir una manera de asumir los riesgos adecuados para generar valor sin adentrarse en terrenos peligrosos. Ahí es donde entran en juego las evaluaciones de riesgos del control interno.

Estas evaluaciones le ayudarán a comprender su situación actual en términos de resiliencia operativa y le brindarán información sobre las perspectivas futuras. Este blog explorará la importancia de las evaluaciones de riesgos de control interno y los pasos necesarios para gestionar la exposición de manera efectiva y alcanzar sus objetivos.

La evaluación de riesgos como componente del marco COSO

El marco COSO se menciona con frecuencia al hablar de la evaluación de riesgos para los controles internos. El marco de control interno COSO se basa en cinco conceptos interrelacionados que permiten a las organizaciones alcanzar sus objetivos generales:

Entorno de control: Este componente se refiere a la cultura que sienta las bases para las actividades de control, generalmente establecida mediante un enfoque descendente. El entorno de control interno debe regirse por la integridad y los valores éticos, la filosofía y el estilo operativo de la dirección, la estructura organizativa y la asignación de responsabilidades.

Evaluación de riesgos: La evaluación de riesgos implica identificar aquellos riesgos que dificultan el logro de los objetivos de la organización. Al evaluar los riesgos, los equipos internos también deben considerar el potencial de fraude y cualquier cambio que pueda afectar el sistema de control interno.

Actividades de control: Las actividades de control interno comprenden las políticas, acciones y procedimientos que ayudan a mitigar los riesgos identificados. El marco de referencia recomienda un proceso de autorización y aprobación para estas actividades de control y delimita claramente las funciones de implementación.

Información y comunicación: Este componente del marco se refiere al intercambio de información oportuna, precisa y relevante para que las personas puedan cumplir con sus responsabilidades. Esto involucra a las partes interesadas internas y externas, como clientes, socios y accionistas.

Actividades de seguimiento: Este componente se centra en el seguimiento, la medición y la presentación de informes sobre el desempeño de los controles para proporcionar información valiosa e informar sobre cualquier deficiencia en el control interno.

Importancia de la evaluación de riesgos en los controles internos

La evaluación de riesgos del control interno es crucial para descubrir puntos ciegos y vulnerabilidades en los controles internos que los atacantes pueden explotar. Además, respalda los procesos de cumplimiento y auditoría, a la vez que proporciona un enfoque sistemático para mitigar los riesgos. He aquí por qué necesita evaluaciones de riesgos del control interno de forma periódica:

Identifica deficiencias y prioriza riesgos.

Las evaluaciones de riesgos cuantitativas y cualitativas ayudan a evaluar los riesgos en función de su probabilidad e impacto. Esto permite a las organizaciones fortalecer su estrategia de gestión de riesgos y trabajar en controles que afectan a las funciones críticas del negocio. La priorización ayuda a asignar recursos de manera eficiente y a abordar primero los riesgos más significativos.

Apoya el cumplimiento

Al vincular los controles con los requisitos de cumplimiento, las evaluaciones de riesgos ayudan a determinar si los controles funcionan según lo previsto. Se identifican los riesgos de cumplimiento y se implementan los controles de mitigación correspondientes. La evaluación de los riesgos relevantes también respalda los requisitos de documentación de cumplimiento, especialmente para marcos como la norma ISO 27001, que exigen planes de evaluación y tratamiento de riesgos.

Mejorar el diseño/implementación del control

Las evaluaciones de riesgos permiten identificar debilidades o deficiencias en los controles. Esta información permite a las organizaciones mejorar el diseño de los controles o las estrategias de implementación para abordar los posibles problemas de antemano. Asimismo, se requieren mejoras continuas para que los controles sigan siendo eficaces en un entorno en constante evolución.

Tipos de riesgos de control interno

Al identificar riesgos, cada organización se enfrenta a distintos tipos de riesgos, algunos relacionados con las actividades principales del negocio, mientras que otros se relacionan con áreas no esenciales. Estos riesgos se pueden clasificar en cuatro tipos: técnicos, de diseño, operativos y de cumplimiento.

Riesgos técnicos

Los riesgos técnicos surgen de problemas relacionados con los componentes técnicos de los controles internos, incluidos los problemas de hardware y software. Estos riesgos afectan la fiabilidad y la eficacia de la infraestructura técnica utilizada para respaldar los controles. Por ejemplo, una vulnerabilidad de software sin parchear podría generar un riesgo de fallo en los controles, permitiendo el acceso no autorizado o filtraciones de datos.

Riesgos de diseño

Los riesgos de diseño surgen cuando los controles internos no están diseñados eficazmente para abordar los riesgos identificados, independientemente de su implementación. Un fallo de diseño puede conllevar una protección o mitigación inadecuada de los riesgos en cuestión. Por ejemplo, si un control destinado a minimizar el acceso no autorizado solo aplica la autenticación multifactor a los sistemas principales, pero no a los de respaldo, se introduce un riesgo de diseño.

Riesgo operacional

Los riesgos operacionales surgen de fallas en las operaciones o procedimientos cotidianos relacionados con los controles internos. Esta categoría incluye riesgos derivados de fallos en la implementación, fallas en el monitoreo, errores humanos, ineficiencias en los procesos o factores externos. Por ejemplo, un riesgo operacional podría consistir en que un responsable de cumplimiento pase por alto discrepancias en los registros debido a un proceso manual de revisión de controles internos propenso a errores humanos.

Riesgos de cumplimiento

Los riesgos de cumplimiento se producen cuando una organización no se adhiere a sus políticas internas o a los requisitos normativos, lo que puede acarrear multas, sanciones o consecuencias legales. Por ejemplo, si una organización sujeta a la norma ISO 27001 no implementa los controles necesarios para la seguridad de la información, se enfrenta a riesgos de cumplimiento relacionados con el incumplimiento de los requisitos de certificación.

Pasos involucrados en la evaluación de riesgos del control interno

Un ejercicio de evaluación de riesgos bien estructurado permite a los equipos internos identificar y priorizar mejor los riesgos antes de proceder con la respuesta a los mismos. Estos son los 6 pasos que implica la evaluación de riesgos del control interno:

Método manual:

Establecer objetivos para la evaluación de riesgos

Su plan de evaluación de riesgos debe tener objetivos definidos y un alcance claro. El plan debe especificar las unidades de negocio, los departamentos, las personas y los procesos que se incluyen en el alcance de la revisión.

Responder a las siguientes preguntas le será de ayuda:

• ¿Cuáles son los activos críticos que deben protegerse?
• ¿Qué podría salir mal? Los posibles problemas que pueden afectar a la empresa.
• ¿Qué personas y procesos empresariales son los más vulnerables?
• ¿Existen requisitos reglamentarios? En caso afirmativo, ¿cuál es la cultura actual de cumplimiento?
• ¿Qué debe salir bien para que toda la organización tenga éxito?

Identificar riesgos

El siguiente paso es recopilar datos de diversas fuentes para identificar riesgos. Se pueden realizar entrevistas, encuestas, sesiones de lluvia de ideas y revisar registros de incidentes anteriores. Para los departamentos identificados en el alcance, también se pueden formular algunas de estas preguntas para identificar riesgos:

• ¿Se comunican explícitamente a los empleados los objetivos comerciales, la misión y los valores de la unidad?
• ¿En qué tipo de información se basa el departamento? ¿Es información confidencial?
• ¿La unidad evaluable cuenta con funciones claramente definidas y una separación de responsabilidades establecida?
• ¿Qué incidentes previos se han producido en la unidad? ¿Se documentaron adecuadamente?
• ¿Existen planes de contingencia?
• ¿Qué procesos son complejos? ¿Están regulados?

Analice estos riesgos en cuanto a probabilidad e impacto.

Una vez identificados los riesgos, analícelos en cuanto a su probabilidad e impacto. Para un análisis cuantitativo, cree una matriz de riesgos que permita evaluar la gravedad de cada uno. Este método de evaluación asigna valores numéricos para indicar la criticidad del riesgo, donde 1 representa el menor riesgo y 10 el mayor.

Por otro lado, el análisis cualitativo utiliza criterios descriptivos y el juicio de expertos para clasificar los riesgos como altos, medios o bajos.

También deberá comprender las interacciones entre riesgos, ya que estos nunca ocurren de forma aislada. Un riesgo puede acumularse, generar nuevos riesgos y dar lugar a otros. Priorice los riesgos que puedan provocar un efecto en cascada al desencadenar nuevos riesgos.

Revisar y probar los controles existentes

A continuación, se deben identificar los riesgos para los controles existentes y determinar si son adecuados o si se necesitan controles adicionales. Para los controles ya implementados, se deben realizar pruebas para evaluar su eficacia y determinar si son lo suficientemente robustos para mitigar los riesgos identificados. Se deben ejecutar scripts de código de ejemplo para observar la ejecución de los controles en tiempo real. Se deben documentar los hallazgos, incluyendo las áreas de mejora, para guiar el desarrollo de un plan de mitigación táctico.

Cree un plan de mitigación para las debilidades.

Comience a priorizar las debilidades del control interno según su urgencia e impacto. El plan de mitigación describirá los nuevos controles que deben establecerse y las mejoras necesarias para los controles existentes. También asignará responsabilidades para el desarrollo e implementación de controles y mejoras eficaces. Si existen deficiencias en la capacitación, se impartirá formación al personal. Todas estas acciones se documentarán y comunicarán a las partes interesadas.

Implementar y monitorear

Los cambios se implementarán y supervisarán de forma continua. Los índices de riesgo residual ofrecerán una visión clara de la adecuación del control. El riesgo residual se calcula restando la eficacia del control al riesgo inherente: si el riesgo residual es bajo, el control implementado es adecuado. Sin embargo, el proceso de evaluación de riesgos debe actualizarse continuamente para adaptarse al perfil y al entorno de riesgo en constante evolución.

Cree un flujo de trabajo autónomo para la gestión de riesgos (sin la proliferación de hojas de cálculo).

Sprinto es una plataforma de confianza autónoma que evalúa continuamente el riesgo mediante la interpretación y el contexto generados por agentes. La plataforma procesa información en tiempo real sobre controles, proveedores, hallazgos y uso de IA para recalcular dinámicamente el riesgo inherente y residual, de modo que las evaluaciones de riesgo de sus controles internos se basen en la exposición actual, no en evaluaciones periódicas.

Con Sprinto, puedes gestionar los riesgos sin necesidad de gestionar hojas de cálculo.

Una vez que integres tu conjunto de tecnologías con la plataforma, te beneficiarás de una gestión de riesgos integrada y proactiva.

• Sprinto te permite acceder a una completa biblioteca de riesgos para identificar los riesgos de seguridad relevantes para tu negocio. También puedes añadir riesgos personalizados según tus necesidades.
• A continuación, aplica rigor empírico a sus evaluaciones de riesgos y puntúa los riesgos en función de su probabilidad de ocurrencia e impacto.
• También te orienta sobre estrategias de respuesta ante riesgos, y puedes aceptar, rechazar o transferir los riesgos según tus preferencias.
• Asigne los riesgos clave a los responsables de riesgos y descentralice la implementación de los controles para mitigar dichos riesgos.

El proceso automatizado también le permite estar preparado para la auditoría en semanas en lugar de meses y le garantiza resultados precisos y fiables.

Mira este video para aprender cómo se hace:

Buenas prácticas para la evaluación de riesgos

A continuación, se presentan algunas de las mejores prácticas para la evaluación de riesgos de los controles internos que los expertos consideran fundamentales:

Utilice un marco de referencia reconocido en la industria.

Los marcos de cumplimiento reconocidos, como ISO 27005 y NIST RMF, utilizan metodologías estandarizadas y probadas para la evaluación de riesgos. La adhesión a estos marcos establecidos puede mejorar la eficacia y la fiabilidad del proceso de evaluación de riesgos y minimizar los riesgos relacionados con el cumplimiento normativo.

Integrar la evaluación de riesgos con SecOps.

La integración de las evaluaciones de riesgos con las operaciones de seguridad (SecOps) contribuye a optimizar los flujos de trabajo, mejorar la colaboración y mitigar los riesgos de forma eficaz. La respuesta a los riesgos se basa en los de mayor impacto, y las operaciones de seguridad mejoran la mitigación para abordar las vulnerabilidades prioritarias. A largo plazo, esto contribuye a una mejor postura de seguridad para la organización.

Realizar auditorías internas periódicas.

Las auditorías de control interno desempeñan un papel crucial en la verificación de la eficacia de las metodologías de evaluación de riesgos y en la evaluación de la relevancia y la actualidad de las estrategias de mitigación. Ayudan a las organizaciones a mantenerse al día con el panorama de amenazas en constante evolución, a prepararse para las auditorías externas y a respaldar la mejora continua de las prácticas de gestión de riesgos.

Utilice los hallazgos para orientar la respuesta ante incidentes.

Utilice los resultados de la evaluación de riesgos para mejorar la detección de incidentes, centrándose en los elementos de alto riesgo. Implemente los controles necesarios para minimizar los riesgos y pruebe los procedimientos de respuesta. Este enfoque contribuye a mejorar la preparación ante incidentes y garantiza que los manuales de actuación se ajusten a los perfiles de riesgo de la organización.

Supervisar y ajustar los perfiles de riesgo.

Una organización determina su tolerancia al riesgo y crea perfiles de riesgo en función de su situación actual. Sin embargo, es fundamental monitorear continuamente el entorno de riesgo y ajustar estos perfiles para reflejar los cambios en la exposición al riesgo. Esta práctica facilita la toma de decisiones bien fundamentadas y permite una mejor asignación de recursos basada en la información de riesgo más actualizada.

Asimismo, es importante comprender las limitaciones del control interno que afectan al negocio.

Gestiona los riesgos específicos de tu negocio con Sprinto.

A medida que evolucionan los entornos de amenazas, las evaluaciones de riesgos periódicas deben ir acompañadas de un seguimiento continuo de los controles internos, para no tomar decisiones basadas en información obsoleta.

Sprinto realiza un seguimiento en tiempo real de las configuraciones del sistema en vivo, los permisos de acceso, las integraciones con proveedores y el uso de IA, lo que garantiza que la evidencia de control refleje el estado real de producción, no instantáneas obsoletas.

Sprinto le ofrece una gestión integral de riesgos, pero va más allá. La plataforma también le ayuda a establecer un sólido programa de cumplimiento que supervisa continuamente los controles, identifica anomalías y activa automáticamente flujos de trabajo de remediación. Además, recopila evidencia de alta calidad para cada acción correctiva, lo que le permite superar las auditorías de cumplimiento sin necesidad de reconstrucción bajo presión.

Más de 300 integraciones y API personalizadas conectan personas, procesos y tecnología, garantizando que no haya puntos ciegos.

Cree una estrategia de confianza autónoma con Sprinto. Hable hoy mismo con un experto y descubra cómo funciona en su entorno.

Preguntas Frecuentes

¿Qué es la evaluación de los controles internos?

La evaluación del control interno es el proceso de evaluar la eficacia del diseño y la implementación de los controles internos. Estos controles se someten a pruebas para asegurar que puedan mitigar los riesgos organizacionales e identificar cualquier debilidad con el fin de recomendar mejoras.

¿Cuál es la diferencia entre evaluación de riesgos y evaluación de controles?

Una evaluación de riesgos identifica los riesgos potenciales que podrían afectar los objetivos de una organización y orienta las decisiones sobre la implementación de controles. Por otro lado, una evaluación de controles evalúa la eficacia de los controles para mitigar los riesgos identificados.

¿Qué tipo de riesgos se suelen identificar en las evaluaciones de riesgos del control interno?

La mayoría de los riesgos identificados durante las evaluaciones de riesgos de control interno incluyen fraude y declaraciones erróneas, errores humanos, riesgos de seguridad informática, incumplimiento normativo e ineficiencias en los procesos operativos.

¿Cuál es la diferencia entre riesgo inherente y riesgo residual?

El riesgo inherente es el nivel de riesgo que existe antes de que se implementen medidas de control para mitigarlo. El riesgo residual es el nivel de riesgo que persiste después de la implementación de dichas medidas. Los índices de riesgo residual deben ser bajos para indicar la eficacia de los controles.

¿Quién evalúa los controles internos?

Los controles internos pueden ser evaluados por diversos grupos clave, como los equipos de auditoría interna, los responsables de cumplimiento normativo, la dirección y el consejo de administración. Los auditores internos y los equipos de cumplimiento normativo suelen realizar auditorías y evaluaciones de riesgos, mientras que la dirección y el consejo supervisan el establecimiento, el seguimiento y la evaluación general de estos controles. Además, los auditores externos pueden evaluar los controles internos durante las auditorías independientes.