Punto de control interno: Prevención de amenazas internas

Muchos fallos de control no empiezan con un empleado deshonesto. Empiezan con un empleado común que intenta terminar una tarea, ayudar a un cliente, mover un archivo, aprobar un pago o sortear una demora que todos saben que está contemplada en el proceso.

Ahí radica el peligro. El control existe en teoría. La política está publicada. El proceso de aprobación está disponible, al menos en teoría. Pero en la práctica, el control se encuentra demasiado lejos del punto de decisión, llega demasiado tarde o depende de un equipo independiente sin contexto operativo. La gente lo evita porque el trabajo aún debe realizarse.

Cuando esto sucede, los líderes suelen hacer la pregunta equivocada. Preguntan quién falló. La pregunta correcta es dónde residía el control. Si la respuesta es "en otro lugar", la organización tiene un problema de diseño, no solo un problema de personal. A ese problema de diseño lo llamo centro de control interno .

El riesgo oculto de un control mal dirigido

Una historia típica posterior a un incidente es la siguiente: un miembro del equipo comparte un informe confidencial con la persona equivocada. O un supervisor aprueba el acceso a un contratista sin darse cuenta de que dicho acceso abarca más sistemas de los previstos. O un empleado presenta una solicitud de reembolso dudosa porque las normas no están claras y todos saben que el departamento de Finanzas se encargará de resolverlo más adelante.

Ninguna de estas situaciones requiere la participación de un empleado malintencionado. Solo requieren tres condiciones: que el proceso no esté claro, que el control esté alejado de la acción y que la responsabilidad esté difusa.

El análisis posterior oficial suele enumerar las deficiencias en las políticas, las necesidades de capacitación y las medidas correctivas. Sin embargo, a menudo omite el fallo estructural. El control no estaba integrado en el punto donde se tomaba la decisión, sino que se encontraba en una etapa posterior, gestionado por otro equipo o integrado en un flujo de trabajo que incentivaba a las personas a omitirlo.

Los controles que se basan en la memoria, la buena voluntad o la revisión posterior son más débiles que los controles integrados directamente en el momento de la acción.

Esa distinción es crucial en la gobernanza, la prevención del fraude y el riesgo interno. Cuando las organizaciones ubican los controles en el lugar equivocado, crean una invitación tácita al error. Además, generan injusticia. Los empleados son culpados por los resultados derivados de sistemas mal diseñados.

He visto empresas con excelentes estándares escritos pero un control operativo deficiente porque la responsabilidad del riesgo no estaba claramente definida. Los gerentes asumían que Cumplimiento era el responsable. Cumplimiento asumía que la empresa era la responsable. TI asumía que el flujo de trabajo de gestión de incidencias era suficiente. Recursos Humanos asumía que el reconocimiento de la política demostraba comprensión. Todos tenían su parte. Nadie tenía el control.

Un modelo más sólido parte de una perspectiva diferente. El control interno plantea la cuestión de dónde deben residir la autoridad, la rendición de cuentas y la verificación en un proceso determinado. Considera la gobernanza como una cuestión de ubicación, no solo de política. Si el control se sitúa demasiado lejos del trabajo, el proceso se vuelve lento, opaco y fácil de eludir. Si se otorga un control demasiado laxo al individuo, se genera inconsistencia. Si se ubica en el lugar adecuado, las personas pueden actuar con rapidez sin perder la trazabilidad ni la ética.

Definición del lugar de control interno en la gobernanza

La gobernanza falla de forma predecible cuando el control se concibe como un documento en lugar de un lugar físico. La pregunta práctica es sencilla: ¿dónde residen la autoridad, la rendición de cuentas y la verificación al tomar una decisión?

En psicología, el locus de control describe si una persona cree que los resultados están determinados principalmente por sus propias acciones o por fuerzas externas. En gobernanza, el locus de control interno traduce esa teoría en un modelo operativo. Identifica el punto dentro de la organización donde se dirige, verifica y evidencia un proceso en el momento en que se crea o se contiene un riesgo.

Esa distinción es importante porque una empresa puede tener políticas sólidas y aun así ubicar el control en el lugar equivocado. Lo veo a menudo en entornos con muchos procesos de aprobación. La política establece que un gerente es responsable de la decisión, pero el control real recae en un revisor posterior que carece de contexto, o en un sistema que registra la acción a posteriori. En teoría, la responsabilidad parece clara. En la práctica, está dispersa.

Los tres lugares donde suele residir el control

En la práctica, el control suele residir en tres niveles. Una buena gobernanza los armoniza. Una gobernanza débil permite que se contradigan entre sí.

Responsabilidad individual

Esta es la capa humana. Un empleado, gerente o especialista debe emitir un juicio, confirmar una acción o asumir la responsabilidad de un resultado. La responsabilidad personal es importante aquí, pero tiene límites.

La investigación de Leadership IQ sobre el locus de control interno reveló que el 17 por ciento de las personas tienen un locus de control interno alto , mientras que alrededor del 29 por ciento tienen un locus de control interno bajo o moderadamente bajo . La misma investigación informó que las personas con un locus de control interno alto estaban un 136 por ciento más satisfechas con su carrera , calificándola con 4,37 en una escala de 0 a 6 frente a 1,85 , y tenían un 113 por ciento más de probabilidades de dar lo mejor de sí en el trabajo , obteniendo una puntuación de 4,78 en inspiración en el lugar de trabajo frente a 2,24 .

Estos hallazgos son útiles, pero no justifican un modelo de gobernanza basado en la personalidad. Un control fiable no puede depender de contratar personas excepcionalmente disciplinadas y esperar que tomen la decisión correcta bajo presión. Incluso las personas competentes cometen errores cuando la autoridad es ambigua, los incentivos son contradictorios o el flujo de trabajo les exige recordar demasiada información.

Diseño de procedimientos

Esta es la capa de flujo de trabajo. Incluye aprobaciones, segregación de funciones, manejo de excepciones, evidencia requerida y reglas de escalamiento. El procedimiento determina si la verificación adecuada aparece antes del compromiso, en el momento del compromiso o mucho después de que el riesgo ya haya pasado por el proceso.

Un proceso de compra es un claro ejemplo. Si un solo empleado puede registrar un proveedor, recibir la mercancía y confirmar el pago antes de que se realice una revisión exhaustiva, el control es débil. Si el flujo de trabajo valida los datos del proveedor, dirige la solicitud al gerente correspondiente y exige una justificación documentada para cualquier modificación, el control se sitúa mucho más cerca del punto de riesgo.

Aplicación de la tecnología

Los sistemas aplican las reglas de forma coherente. Las plataformas de control de acceso, la lógica de aprobación de los sistemas ERP, las herramientas de gestión de casos y los motores de flujo de trabajo determinan dónde reside realmente el control. La tecnología debe reducir la ambigüedad y reforzar la evidencia, no añadir más confusión.

Un marco de control interno bien estructurado sitúa los derechos de decisión, las verificaciones y los registros en el lugar adecuado antes de que un incidente ponga al descubierto la deficiencia.

Regla práctica: Si la persona que realiza el trabajo no puede discernir fácilmente lo que tiene permitido hacer, es probable que el centro de control esté mal ubicado.

En términos organizacionales, lo interno frente a lo externo es lo mismo que lo organizacional.

En términos organizacionales, un control interno implica que el control se sitúa cerca de la acción, es claro para quien lo realiza y se refuerza mediante procedimientos y el diseño del sistema. Un control externo se produce cuando la autoridad se delega en una función desconectada, una cola opaca o una etapa de revisión diferida.

La diferencia es operativa, no filosófica. Un control interno respalda la rendición de cuentas con evidencia verificable. Un control externo genera demoras, soluciones improvisadas y aprobaciones rutinarias que crean la apariencia de gobernanza sin dirigir la decisión en sí.

Por qué el centro de control es fundamental para la gestión de riesgos en los negocios modernos.

Un gerente aprueba el acceso urgente al sistema desde su teléfono entre reuniones. La solicitud es vaga, el rol del usuario es más amplio de lo necesario y la revisión que podría detectar el error se realiza semanas después. Para entonces, el acceso ya se ha utilizado, se ha copiado en otras solicitudes y se ha tratado como algo normal. Así es como se manifiesta en la práctica un control mal aplicado. El fallo no se debe únicamente al criterio humano, sino a la arquitectura de decisiones que rodea el trabajo.

El riesgo moderno rara vez se manifiesta únicamente por la falta de una política. Se manifiesta a través de retrasos, traspasos deficientes y controles ubicados demasiado lejos de la transacción, aprobación o cambio de configuración que genera la exposición. La ubicación del control interno es crucial porque determina quién tiene la responsabilidad en el momento en que se crea el riesgo, no a posteriori, cuando alguien reconstruye la cronología de los hechos.

Esa distinción afecta a la velocidad, la integridad y la responsabilidad.

¿Qué sucede cuando el control está demasiado lejos?

Muchos equipos de gobernanza dedican demasiado tiempo a preguntarse si existe una norma y muy poco a analizar dónde se aplica. En la práctica, una política que nadie puede aplicar en el momento de la toma de decisiones es solo un documento de referencia.

Cuando el control se sitúa demasiado lejos de la acción, el patrón es predecible:

• El personal de primera línea deja de tomar decisiones por sí mismo porque espera que otro departamento detecte el problema más adelante.

• Los responsables de la aprobación toman decisiones menos acertadas porque las solicitudes llegan desprovistas de contexto empresarial, impacto en el sistema o excepciones previas.

• Los equipos de segunda línea analizan el volumen en lugar del riesgo y dedican su tiempo a separar el ruido rutinario de los pocos problemas que realmente importan.

• La mala conducta se oculta dentro del desorden normal porque un diseño deficiente del proceso dificulta distinguir la actividad inusual del retrabajo ordinario.

Como se mencionó anteriormente, la investigación en el ámbito laboral sobre las orientaciones internas y externas ofrece una lección práctica para la gobernanza. El diseño del sistema es fundamental porque las organizaciones no pueden depender de la disciplina personal para compensar controles poco claros, protocolos deficientes o una aplicación inconsistente de la ley.

Un sistema de control que solo funciona cuando las personas son excepcionalmente cuidadosas no es lo suficientemente fiable para operaciones en tiempo real.

Por eso, unos controles bien establecidos son fundamentales para prevenir el fraude . El riesgo de fraude aumenta cuando las aprobaciones se desvinculan de las pruebas, las excepciones se normalizan fácilmente y nadie tiene el control en el momento de la acción.

Resiliencia, integridad y capacidad de defensa.

El lugar de control determina lo que la organización puede demostrar después de que algo salga mal. El departamento legal puede necesitar evaluar si un incidente se debió a negligencia, abuso de control o un diseño defectuoso. Auditoría interna puede necesitar determinar si el control falló o si nunca existió en el flujo de trabajo. Los reguladores suelen plantear una pregunta más sencilla: ¿quién tenía autoridad, qué evidencia respaldaba la decisión y dónde se encuentra el registro?

Esas respuestas dependen de la ubicación de los controles.

Un sólido sistema de control interno genera autoridad visible, justificación documentada y registros vinculados al flujo real de las transacciones. Un sistema débil produce aprobaciones dispersas, falta de contexto y revisiones superficiales que generan evidencia de actividad sin evidencia de control. Esto representa una disyuntiva real. La revisión centralizada puede mejorar la coherencia, pero si elimina el contexto operativo o llega demasiado tarde, la coherencia se logra a costa de la calidad del control.

Aquí les presentamos un recurso informativo útil sobre el tema más amplio de la propiedad y la rendición de cuentas:

https://www.youtube.com/watch?v=jfaABy0E6r4

El centro de control moldea la cultura a través de la realidad operativa.

La cultura se forja a partir de la experiencia repetida. Los empleados perciben en qué decisiones se les confía la toma, qué problemas requieren escalamiento y qué aprobaciones son meramente protocolares. También observan si se espera que los gerentes asuman la responsabilidad del riesgo o si simplemente deben remitir las solicitudes.

Cuando el control interno está claro, las personas comprenden su autoridad, sus límites y las condiciones para el manejo de excepciones. La gestión de incidencias mejora porque el personal sabe qué les corresponde y qué requiere revisión. Se reduce la tendencia a culpar a otros porque la responsabilidad es visible en el propio proceso.

Ese es el valor, a menudo ignorado, del centro de control en la gobernanza. Transforma una idea psicológica sobre el control percibido en una cuestión de diseño operativo: ¿dónde, exactamente, ubica la organización la responsabilidad, la evidencia y la intervención antes de que el riesgo se convierta en pérdida?

Ejemplos de centros de control en diversas funciones empresariales

La forma más sencilla de identificar el control interno es repasar las tareas rutinarias de la empresa y hacerse una pregunta: ¿dónde se produce el control efectivo? No donde la política indica que debe producirse. No donde aparece posteriormente el registro de auditoría. ¿Dónde se produce realmente?

Finanzas

Un empleado presenta un gasto que no se ajusta a la política de la empresa. Debido a un diseño deficiente, la solicitud pasa por varias bandejas de entrada y finalmente es rechazada por un analista financiero que no tiene información ni relación directa con el viajero. El empleado no aprende nada, salvo que el departamento de finanzas es complicado.

En un diseño más robusto, la plataforma de gastos proporciona retroalimentación inmediata al ingresar la información, señala el conflicto de políticas, envía una excepción definida al gerente directo y registra la justificación si se aprueba. El control se ubica dentro del proceso de transacción, no en un paso de limpieza posterior.

Gestión de TI y acceso

Un equipo de proyecto necesita acceso temporal a una aplicación restringida. En un diseño deficiente, el acceso se solicita por correo electrónico, se concede manualmente y luego se revisa de forma masiva. El acceso temporal tiende a convertirse en permanente porque nadie controla su fecha de caducidad.

En un diseño más robusto, la solicitud se integra en un flujo de trabajo con opciones basadas en roles, aprobación del gerente, justificación comercial, fechas de finalización automáticas y registro de las decisiones de renovación. El departamento de TI sigue administrando el sistema, pero el control se distribuye adecuadamente entre el solicitante, el gerente y la plataforma.

Cuando el acceso no tiene una lógica de caducidad, la organización no ha delegado autoridad, sino que la ha abandonado.

Recursos humanos y relaciones laborales

Un gerente se enfrenta a un problema de conducta recurrente. En un diseño deficiente, el gerente espera demasiado porque se considera que Recursos Humanos es el verdadero responsable de la disciplina. Para cuando Recursos Humanos interviene, la información ya no es relevante y la confianza es baja.

En un diseño más sólido, el gerente documenta las inquietudes con anticipación, sigue un protocolo de conversación definido y las escala a través de un proceso estructurado de relaciones laborales cuando se alcanzan ciertos límites. El departamento de Recursos Humanos asesora y supervisa. El gerente sigue siendo responsable de las acciones que se toman en primera línea.

Aprobaciones de ventas y comerciales

Un vendedor quiere ofrecer un descuento o una condición contractual no estándar. Los diseños deficientes obligan a que cualquier variación se someta a revisión legal sin establecer límites. Esto ralentiza las negociaciones y enseña a la empresa a ocultar las desviaciones hasta el final del ciclo.

Los diseños robustos definen rangos de aprobación, cláusulas de respaldo aprobadas y el enrutamiento de excepciones según el nivel de riesgo. El equipo de ventas puede actuar con rapidez dentro de los límites establecidos. Los departamentos legal y financiero se centran en las excepciones que requieren su atención.

Operaciones y seguridad física

Un supervisor de operaciones observa a un contratista trabajando en un área que no coincide con los permisos de acceso otorgados previamente. En un entorno con poca seguridad, el supervisor asume que Seguridad lo autorizó. Seguridad, por su parte, asume que Operaciones solicitó el permiso correctamente.

En un entorno más seguro, el permiso, el nivel de acceso, el patrocinador y el alcance del trabajo están vinculados. El supervisor puede verificar la autorización en el flujo de trabajo y detener la tarea si se sale del alcance. La responsabilidad es visible en tiempo real.

Ejemplos de locus de control Diseño débil vs. diseño fuerte

Función empresarial	Locus de control débil (alto riesgo)	Locus de control fuerte (bajo riesgo)
Finanzas	La revisión de la política se lleva a cabo después de su presentación por un equipo independiente con contexto limitado.	Las reglas y las rutas de excepción aparecen durante el envío, con la justificación del gerente registrada.
Seguridad informática	El acceso se concede mediante solicitudes informales y posteriormente se revisa manualmente.	Acceso aprobado mediante flujo de trabajo basado en roles con caducidad automática y comprobante de acceso.
HORA	Los gerentes delegan la responsabilidad básica al departamento de Recursos Humanos hasta que los problemas se agravan.	Los gerentes actúan con anticipación dentro de un proceso definido, mientras que el departamento de recursos humanos brinda supervisión.
Ventas	Todas las desviaciones se envían tarde a los revisores de back-office.	Los umbrales, los términos de reserva y las rutas de excepción se definen de antemano.
Operaciones	El personal de primera línea no puede verificar la autorización en el punto de trabajo.	El alcance, los permisos y la responsabilidad del patrocinador son visibles donde se realiza la tarea.
Seguridad corporativa	La responsabilidad del incidente se transfiere entre departamentos después del evento.	La propiedad, la ruta de escalamiento y la recopilación de evidencia están predefinidas antes de que ocurra un incidente.

Gran parte de la prevención del fraude y las malas prácticas se reduce a estas pequeñas decisiones de diseño. Si está revisando su propio entorno, esta guía sobre controles internos para prevenir el fraude le resultará muy útil. Complementa a la perfección una revisión del lugar de control, ya que se centra en el diseño operativo en lugar de en eslóganes.

Cómo mapear y evaluar el centro de control de su organización

Un fallo en el control rara vez comienza con la falta de una política. Generalmente comienza antes, en el momento en que alguien toma una decisión sin las restricciones, la evidencia o la rendición de cuentas adecuadas.

Ese es el objetivo de mapear el lugar de control. La tarea consiste en identificar dónde reside el control en el proceso operativo, no dónde dice la organización que reside en un conjunto de políticas, un diagrama RACI o un manual de auditoría.

Empieza por las decisiones que pueden perjudicarte.

Comience con un número reducido de procesos donde un juicio deficiente genere riesgos significativos. En la práctica, esto suele significar áreas donde la rapidez, la discreción y la debilidad de las pruebas tienden a chocar.

Los puntos de partida comunes incluyen:

• El aprovisionamiento y desaprovisionamiento de accesos donde la eliminación tardía o las aprobaciones informales dejan una exposición activa

• Proceso de incorporación de proveedores y aprobación de pagos donde las lagunas de responsabilidad pueden ocultar fraudes, conflictos o gastos no justificados.

• Gestión de casos de recursos humanos o cumplimiento normativo donde la admisión, la escalada o la documentación inconsistentes generan riesgos legales y de equidad.

• Manejo de datos sensibles donde los usuarios a menudo se enfrentan a una presión directa para priorizar la comodidad sobre la política.

Mapea cada proceso desde la primera solicitud hasta la acción final. Luego, responde las preguntas que revelan el verdadero centro de control:

1. ¿Quién inicia la acción?

2. ¿Quién lo aprueba y en qué sistema?

3. ¿Quién puede anular el control?

4. ¿Quién examina las pruebas que lo respaldan antes de decidir?

5. Dónde se almacena esa evidencia

6. Cómo se justifican y registran las excepciones

7. ¿Qué sucede si el propietario asignado no hace nada?

Si esas respuestas están dispersas entre bandejas de entrada, hojas de cálculo, conversaciones paralelas y la costumbre de los gerentes, la organización no cuenta con un centro de control interno estable. Tiene un conjunto de soluciones improvisadas locales.

Pruebe el flujo de trabajo en vivo

Los documentos importan. El comportamiento real importa aún más.

Analice el proceso con las personas que lo realizan. Pídales que muestren la secuencia real en pantalla, incluyendo las transferencias, las correcciones, las aprobaciones fuera de línea y los puntos donde saben que el sistema les fallará. Esos momentos le indicarán dónde se ha desviado la responsabilidad del punto de acción.

Normalmente, primero busco tres señales. El aprobador carece de contexto. La evidencia aparece después de la aprobación. El control puede eludirse sin dejar constancia visible.

Verificación de campo: La solución no oficial suele revelar el diseño de control real más rápidamente que el procedimiento formal.

Los diagramas RACI siguen siendo útiles, pero solo como punto de referencia. Una persona marcada como "Responsable" no tiene mucho control si no puede ver la solicitud, verificar los hechos o detener la acción antes de que se lleve a cabo.

Utilice las herramientas de evaluación con moderación.

Algunas organizaciones también analizan si los indicadores de comportamiento pueden servir de base para el diseño de la formación o la supervisión. Esto puede resultar útil, pero debe mantenerse dentro de los límites éticos y operativos.

El Índice de Control Interno de Duttweiler utiliza una escala tipo Likert con 28 ítems y evalúa cinco variables relevantes para el locus de control interno ( resumen de Wikipedia ). La Escala IE de Rotter es otra medida comúnmente citada en el mismo resumen. En un contexto de gobernanza, estas herramientas pueden proporcionar información de base para debates sobre desarrollo, diseño de roles o capacitación.

No deben utilizarse para etiquetar a las personas como seguras o inseguras, ni para sustituir los controles de proceso por suposiciones basadas en la personalidad. La ubicación del control interno a nivel organizacional es, ante todo, una cuestión de diseño. Se pregunta si el sistema sitúa la autoridad, la evidencia, el momento oportuno y la rendición de cuentas en el lugar adecuado.

Para procesos financieramente delicados, suele ser útil contar con un contador público certificado (CPA) cualificado para revisar las cadenas de aprobación, los estándares de evidencia y la segregación de funciones. Esta perspectiva a menudo revela una dura realidad: la persona designada como responsable del control no siempre es quien gestiona la transacción.

Producir un producto que la gente pueda usar

El mejor resultado de la evaluación es un mapa de control funcional, mantenido por la empresa y lo suficientemente claro como para que los equipos de auditoría, riesgos y operaciones puedan utilizarlo sin necesidad de reuniones de interpretación.

Ese mapa debería mostrar:

• Puntos de decisión donde el riesgo entra en el proceso

• Propietarios de control en cada paso

• Reglas o dependencias del sistema que imponen, debilitan o eluden el control.

• Rutas de excepción y quién puede autorizarlas.

• Lugares donde se revisarán y analizarán las pruebas.

• Patrones de fallos conocidos que necesitan rediseño

Este formato transforma el diálogo. Los líderes pueden discernir si el control reside en el momento de la decisión, a posteriori o si, por el contrario, no existe en ningún lugar fiable. Así es como la teoría del locus de control se convierte en gobernanza operativa.

Diseñando un centro de control más sólido y ético.

Un diseño de control deficiente suele manifestarse en una situación común. El empleado que realiza el trabajo se enfrenta a la decisión sobre el riesgo principal, pero el control real se encuentra tres pasos más adelante, en un informe, un correo electrónico o un paquete de documentos para el comité mensual. Para entonces, la organización está documentando el fallo, no previniéndolo.

Un control más sólido comienza con su ubicación. Coloque el control en el punto donde se toma la decisión, se aprueba o se libera el control. Si el riesgo es compartir archivos externamente, el control debe estar en la acción de compartir. Si el riesgo es una aprobación de excepción, el control debe estar dentro del proceso de aprobación, con criterios claros y evidencia adjunta en ese momento.

Se trata de una elección de modelo operativo, no de un ejercicio de redacción.

Diseño para una acción responsable

Los controles bien diseñados ayudan a las personas a tomar la decisión correcta bajo presión de tiempo. Los controles mal diseñados obligan a elegir entre velocidad y política, y es ahí donde comienzan las soluciones alternativas.

Una investigación que utilizó datos de encuestas australianas encontró que un aumento de una desviación estándar en el locus de control interno se asoció con un aumento en el autocontrol de aproximadamente 0,36 a 0,37 desviaciones estándar, con correlaciones entre los constructos que oscilaron entre 0,24 y 0,40, como se informa en este artículo de investigación sobre locus de control, autocontrol y salud . El mismo estudio encontró que el autocontrol mediaba parte de la relación entre el locus de control y la salud, y que el locus de control interno fortalecía los efectos beneficiosos del autocontrol en muchos resultados de salud. Los tamaños del efecto relativo oscilaron entre el 10 y el 20 por ciento para la mayoría de los resultados de salud, aumentando al 42 por ciento para la inactividad física y al 96 por ciento para el malestar psicológico, mientras que una excepción destacó. El locus de control interno se asoció con una mayor probabilidad de consumo de alcohol y consumo excesivo de alcohol.

La lección sobre gobernanza es más específica que la de psicología, pero útil. Los sistemas que fomentan el juicio, exigen explicaciones y hacen visible la rendición de cuentas tienden a generar una mejor conducta que los sistemas basados principalmente en la amenaza. La disuasión sigue teniendo su lugar, pero no debe ser el único elemento del diseño.

Una buena gobernanza trata a los empleados como participantes responsables en un proceso controlado, no como sospechosos bajo vigilancia permanente.

Opciones de diseño que mejoran el control del locus

Cinco patrones mejoran de forma consistente la colocación de los controles y el desempeño ético:

• Las indicaciones previas a la decisión presentan reglas y señales de riesgo antes de que se tome la medida.

• Las excepciones con código de motivo obligan a proporcionar una justificación explícita y dejan un registro revisable.

• Las aprobaciones con plazo fijo caducan automáticamente a menos que alguien las renueve intencionadamente.

• Las rutas de escalamiento claras indican cuándo el personal de primera línea debe detenerse, preguntar o transferir una decisión.

• Separar la información de asesoramiento de la autoridad de aprobación para que los equipos de especialistas informen las decisiones sin asumir la responsabilidad de su ejecución.

Se trata de decisiones prácticas con ventajas e inconvenientes. Un mayor número de avisos puede reducir los errores, pero un exceso de ellos fomenta la aceptación indiscriminada de acciones. Un control de excepciones más estricto mejora la trazabilidad, pero puede ralentizar el trabajo urgente si los niveles de aprobación no están bien definidos. Un buen diseño de gobernanza acepta estas ventajas e inconvenientes y los ajusta según el riesgo, el volumen y el contexto empresarial.

Fallos de diseño de control para evitar

El modelo basado únicamente en políticas fracasa porque la publicación no implica control. Un acuse de recibo firmado no confiere autoridad, evidencia ni intervención en el punto donde el riesgo entra en el proceso.

El modelo de corregir los errores posteriormente falla porque la revisión posterior es una actividad de aseguramiento. Es útil para realizar pruebas, analizar tendencias y rendir cuentas, pero su prevención es deficiente.

La vigilancia excesiva fracasa por una razón distinta. El control riguroso, la recopilación encubierta de información y la supervisión basada en la presión suelen dañar la confianza, reprimir las denuncias y canalizar las malas prácticas hacia vías más difíciles de detectar. El diseño de controles éticos se basa en la proporcionalidad, la trazabilidad y la clara atribución de responsabilidades.

Un modelo más sólido distribuye el control de forma intencionada. Los equipos de primera línea necesitan derechos de decisión que puedan ejercer. Los gerentes necesitan funciones de revisión que puedan llevar a cabo. Las funciones de riesgo y control necesitan visibilidad sobre las excepciones, los fallos recurrentes y las desviaciones del control. Los sistemas deben aplicar los límites de forma coherente.

Las organizaciones que desean implementar este modelo a gran escala suelen necesitar un entorno operativo compartido, en lugar de aprobaciones y evidencias dispersas. Una plataforma unificada de gestión de flujos de trabajo en E-Commander puede ayudar a mantener la propiedad, la escalada y la documentación vinculadas al punto de decisión real.

Así es como se ve un centro de control interno bien diseñado. La responsabilidad recae donde se toman las decisiones, la evidencia las respalda y la supervisión fortalece el proceso sin reemplazarlo.

Implementación de la gobernanza con E-Commander

La mayoría de las organizaciones pueden describir sus controles. Sin embargo, son muchas menos las que pueden implementarlos de forma coherente en las áreas de Recursos Humanos, Cumplimiento Normativo, Seguridad, Asuntos Legales, Gestión de Riesgos y Auditoría Interna, sin recurrir a hojas de cálculo, cadenas de correos electrónicos y evidencia fragmentada.

Ahí radica la importancia de un enfoque basado en plataformas. La gobernanza se vuelve sostenible cuando la propiedad del control, la lógica de escalamiento, la documentación y la gestión de casos se encuentran en un único entorno operativo, en lugar de estar dispersas en herramientas desconectadas.

Un sistema unificado puede transformar el control interno de un concepto en una disciplina operativa. Permite documentar quién es responsable de una decisión, qué evidencia se requiere, cuándo se plantea una excepción y cómo una inquietud avanza desde una señal inicial hasta una revisión verificada. Esto es fundamental para la prevención, ya que los controles débiles suelen manifestarse primero como pequeñas inconsistencias, no como incidentes graves.

Para las organizaciones que buscan ese nivel de estructura operativa, E-Commander proporciona una plataforma unificada para gestionar el riesgo interno, los flujos de trabajo de mitigación y la evidencia, de forma que se fomente la gobernanza en lugar de la improvisación. Su valor no reside únicamente en la centralización, sino en una trazabilidad rigurosa entre funciones que suelen tener dificultades para compartir un lenguaje operativo común.

Este enfoque también se alinea con un modelo de prevención más ético. Una gestión de riesgos eficaz no requiere vigilancia constante ni sistemas basados en juicios subjetivos. Requiere señales tempranas, procesos documentados, el debido proceso y una clara distinción entre una preocupación preventiva y un asunto que requiere verificación. Cuando la tecnología se diseña en torno a estos principios, beneficia tanto a la institución como al individuo.

La ventaja operativa es sencilla. Los equipos actúan con mayor rapidez cuando la responsabilidad es visible. Las investigaciones son más rigurosas cuando la evidencia está estructurada. Los líderes toman mejores decisiones cuando el sistema muestra no solo el evento, sino también las condiciones del proceso que lo rodean.

Esa es la promesa práctica del control interno cuando se implementa correctamente. Nadie queda a ciegas. Las funciones no quedan aisladas. La gobernanza pasa de la reacción a la prevención.

---

Si su organización busca reducir el riesgo interno, fortalecer la rendición de cuentas y establecer controles que los empleados puedan utilizar, Logical Commander Software Ltd. ofrece una solución ética y operativa. Su plataforma está diseñada para ayudar a las organizaciones a detectar los incidentes con rapidez y actuar con eficacia, sin comprometer la dignidad, la privacidad ni el debido proceso.