Tras una larga temporada sin poder escribir, hoy vuelvo para hablaros sobre un tema que personalmente lo estoy utilizando casi a diario en mi trabajo. Hoy hablaré del marco COSO.
El control interno y la gestión del riesgo en una empresa es vital para su supervivencia ya que le ayuda a prevenir, detectar, controlar y gestionar los riesgos a los que ésta está expuesta.
El COSO (Comitte of Sponsoring Organizations) es una organización compuesta de cinco sociedades privadas (American Accounting Association, American Institute of CPA, Financial Executives International, IMA y el Institute of Internal Auditors) dedicada a crear una guía/marco en relación al control interno. Esta guía o marco, afecta a toda empresa, tanto pública como privada y a todos los niveles de la misma. Es un proceso que se da de forma continua a lo largo de la vida de la sociedad y debe de alinearse con la estrategia de la empresa. Ésta trata de calcular la probabilidad e impacto de un evento que afecte a la sociedad, cómo preverlo y mitigarlo de una manera rápida y eficaz.
Este marco/guía tiene dos versiones, aunque se está trabajando en una tercera. Estas no se anulan, sino que se complementan.
El marco COSO I tenía cinco componentes que afectaban a tres objetivos principales que figuran en la planta del cubo (operacionales, información y cumplimiento). En el lateral se puede ve cómo afectan a todos los estratos de la sociedad, y en la vista de alzado los cinco puntos a analizar en relación al control interno:
- Ambiente de control: es el carácter que la sociedad tiene respecto al control interno, si tienen un compromiso firme respecto a su identificación, análisis, evaluación y control.
- Evaluación de Riesgos: mecanismos de identificación y evaluación del riesgos para la consecución de los objetivos fijados por la sociedad.
- Actividades de control: normas y procedimientos que aseguran que se cumplen las políticas implantadas para enfrentarse a los riesgos identificados.
- Información y Comunicación: mecanismos de intercambio de información a nivel interno para desarrollar, mejorar y controlar las operaciones de la sociedad.
- Supervisión y monitoreo: aquello que no se mide, no se controla y por tanto es un riesgo. Es necesario un seguimiento continuo para comprobar que el control interno funciona y cómo se puede mejorar.
- Ambiente interno: es el carácter que la compañía tiene respecto a la gestión de los riesgos.
- Establecimiento de objetivos: primero se deben fijar los objetivos para poder analizar qué riesgos le afectan. Los objetivos se centran en 4 grandes grupos:
- Estratégicos: se central en la misión y visión de la compañía.
- Operacionales: uso eficaz y eficiente de recursos.
- Información: fiabilidad en la información suministrada.
- Cumplimiento: cumplimiento legislativo.
- Identificación de eventos: es la identificación de riesgos internos y externos que pueden afectar a la consecución de los objetivos.
- Evaluación de riesgos: en este punto se analiza la probabilidad de que ocurra el riesgo y el impacto que tendrá éste sobre la compañía.
- Respuesta al riesgo: se segmentarán las respuestas entre "evitar, aceptar, reducir o compartir el riesgo". Y se crearán medidas para poder gestionar los riesgos hasta un nivel aceptable.
- Actividades de control: son los procedimientos necesarios para que las respuestas a los riesgos se hagan efectivas.
- Información y comunicación: en este punto se crea un sistema para que la información se identifique, recopile y comparta de manera rápida y eficaz para poder identificar y/o mitigar los riesgos.
- Supervisión: una continua supervisión del proceso garantiza su efectividad.
