El modelo de las tres lineas de IIA 2020

EL MODELO DE LAS TRES LÍNEAS DEL IIA 2020

Una actualización de las tres líneas de defensa Tabla de contenidos Introducción .................................................................................................................................................. 1 Principios del Modelo de las Tres Líneas ................................................................................................... 2 Principio 1: Gobierno ........................................................................................................................... 2 Principio 2: Roles del organismo de gobierno .................................................................................. 2 Principio 3: Dirección y roles de primera y segunda línea ............................................................... 3 Principio 4: Roles de tercera línea ...................................................................................................... 3 Principio 5: Independencia de tercera línea ....................................................................................... 3 Principio 6: Creando y protegiendo el valor ...................................................................................... 3 Roles clave en el Modelo de las Tres Líneas .............................................................................................. 5 El organismo de gobierno ................................................................................................................... 5 Dirección ............................................................................................................................................... 5 Auditoría interna ................................................................................................................................... 6 Proveedores de aseguramiento externo ............................................................................................ 6 Relaciones entre los roles principales ........................................................................................................ 7 Entre el organismo de gobierno y la dirección (roles de primera y segunda línea) ....................... 7 Entre la dirección (ambos roles de primera y de segunda línea) y la auditoría interna ................. 7 Entre la auditoría interna y el organismo de gobierno...................................................................... 8 Entre todos los roles ............................................................................................................................ 8 Aplicando el Modelo ..................................................................................................................................... 9 Estructura, roles y responsabilidades................................................................................................ 9 Supervisión y aseguramiento ............................................................................................................10 Coordinación y alineación ..................................................................................................................10 INTRODUCCIÓN Las organizaciones son empresas humanas que Términos clave operan en un mundo cada vez más incierto, complejo, interconectado y volátil. A menudo tienen múltiples partes Organización: un grupo organizado de interesadas con intereses diversos, cambiables y en actividades, recursos y personas que

ocasiones, competitivos. Las partes interesadas confían la trabajan para alcanzar metas supervisión organizativa a un organismo de gobierno, que compartidas. a su vez delega recursos y autoridad a la dirección para Partes interesadas: aquellos grupos e que tome las medidas apropiadas, incluyendo la gestión individuos cuyos intereses son de riesgo. atendidos o impactados por la organización. Por estas y otras razones, las organizaciones necesitan Organismo de gobierno: aquellas estructuras y procesos eficaces que permiten alcanzar los personas que son responsables ante las objetivos, mientras apoyan un gobierno y una gestión de partes interesadas por el éxito de la riesgo sólida. A medida que el organismo de gobierno organización. recibe informes de la dirección sobre actividades, Dirección: aquellas personas, equipos y resultados y previsiones, tanto el organismo de gobierno roles de apoyo asignados para como la dirección confían en la auditoría interna para proporcionar productos y/o servicios a proporcionar aseguramiento independiente y objetivo, los clientes de la organización. asesorar en todos los asuntos, promover y facilitar la Auditoría interna: aquellas personas que innovación y la mejora. El organismo de gobierno es operan independientemente de la principalmente responsable del gobierno, que se logra dirección para proporcionar mediante las acciones y comportamientos tanto del aseguramiento y conocimiento sobre la organismo de gobierno, la dirección y la auditoría interna. adecuación y eficacia del gobierno y la gestión de riesgo (incluyendo el control El Modelo de las Tres Líneas ayuda a las organizaciones interno). a identificar las estructuras y los procesos que mejor El Modelo de las Tres Líneas: el Modelo facilitan el logro de los objetivos y promuevan un gobierno conocido anteriormente como las tres

sólido y gestión de riesgo. El Modelo se aplica a todas las líneas de defensa. organizaciones y se optimiza mediante lo siguiente: Control interno: procesos diseñados  Adoptar un enfoque basado en principios y para proporcionar una confianza razonable sobre el logro de los adaptar el Modelo a los objetivos y circunstancias objetivos. de la organización.  Enfocar la contribución de la gestión de riesgo en la obtención de objetivos y la creación de valor, así como en cuestiones de "defensa" y protección del valor.  Comprender claramente los roles y responsabilidades representados en el Modelo y las relaciones entre ellos.  Implementar medidas para garantizar que las actividades y los objetivos estén alineados con los intereses prioritarios de las partes interesadas. 1

PRINCIPIOS DEL MODELO DE LAS

TRES LÍNEAS Principio 1: Gobierno El gobierno de una organización requiere estructuras y procesos apropiados que permitan lo siguiente: Términos clave Toma de decisiones basada en el  Responsabilidad por parte de un organismo de riesgo: un proceso considerado que gobierno a las partes interesadas para la incluye análisis, planificación, acción, supervisión de la organización a través de la monitoreo y revisión, y toma en cuenta integridad, el liderazgo y la transparencia. los impactos potenciales de la  Acciones (incluyendo la gestión de riesgo) por incertidumbre sobre los objetivos. parte de la dirección para lograr los objetivos de Aseguramiento: confirmación y confianza independientes. la organización a través de la toma de decisiones

basada en el riesgo y la aplicación de recursos.  Aseguramiento y asesoramiento por parte de una función de auditoría interna independiente para proporcionar claridad y confianza y para promover y facilitar la mejora continua a través de una investigación rigurosa y comunicación perspicaz. Principio 2: Roles del organismo de gobierno El organismo de gobierno asegura que:  Se han establecido estructuras y procesos adecuados para un gobierno eficaz.  Los objetivos y actividades de la organización están alineados con los intereses prioritarios de las partes interesadas.

El organismo de gobierno:  Delega la responsabilidad y proporciona recursos a la dirección para alcanzar los objetivos de la organización mientras asegura que se cumplan las expectativas legales, reglamentarias y éticas.  Establece y supervisa una función de auditoría interna independiente, objetivo y competente para proporcionar claridad y confianza en el progreso hacia el logro de los objetivos.

2 Principio 3: Dirección y roles de primera y segunda línea La responsabilidad de la dirección de alcanzar los objetivos organizativos comprende los roles de primera y segunda línea.1 Los roles de primera línea se alinean más directamente con la entrega de productos y/o servicios a los clientes de la organización e incluyen los roles de soporte2. Los roles de segunda línea proporcionan asistencia en la gestión de riesgo. Los roles de primera y segunda línea pueden mezclarse o separarse. Algunos roles de segunda línea pueden ser asignados a especialistas para proporcionar experiencia adicional, apoyo, monitoreo y cuestionar a aquellos con roles de primera línea. Los roles de segunda línea pueden centrarse en objetivos específicos de la gestión de riesgo, tales como el cumplimiento de las leyes, las regulaciones y el comportamiento ético

aceptable; el control interno; la seguridad de la información y la tecnología; la sostenibilidad; y el aseguramiento de la calidad. Como alternativa, los roles de segunda línea pueden abarcar una responsabilidad más amplia en la gestión de riesgo, como la Gestión de Riesgo Empresarial (en inglés, ERM). Sin embargo, la responsabilidad de la gestión de riesgo sigue siendo parte de los roles de primera línea y dentro del alcance de la gestión. Principio 4: Roles de tercera línea La auditoría interna proporciona un aseguramiento independiente y objetivo, junto con un asesoramiento sobre la adecuación y eficacia del gobierno y la gestión de riesgo.3 Esto se logra mediante la aplicación competente de procesos sistemáticos y disciplinados, experiencia y percepciones. Informa de sus observaciones a la dirección y al organismo de gobierno para promover y facilitar la mejora continua. Al hacerlo, puede considerar el aseguramiento de otros proveedores internos y externos. Principio 5: Independencia de tercera línea La independencia de la auditoría interna de las responsabilidades de la dirección es fundamental para su objetividad, autoridad y credibilidad. Se establece mediante la responsabilidad ante el organismo de gobierno; el acceso sin restricciones a las personas, los recursos y los datos necesarios para completar su trabajo; y la ausencia de prejuicios o interferencias en la planificación y prestación de servicios de auditoría. Principio 6: Creando y protegiendo el valor Todos los roles que trabajan juntos contribuyen colectivamente a la creación y protección del valor cuando están alineados entre sí y con los intereses priorizados de las partes interesadas. La alineación de las actividades se logra mediante la comunicación, la cooperación y la colaboración. Esto asegura la fiabilidad,

la coherencia y la transparencia de la información necesaria para la toma de decisiones basada en el riesgo.

1. El lenguaje de “primera línea”, “segunda línea” y “tercera línea” se mantiene del Modelo original en aras a la familiaridad. Sin embargo, las “líneas” no pretenden denotar elementos estructurales sino una diferenciación útil en los roles. Lógicamente, los roles del organismo de gobierno también constituyen una "línea", pero esta convención no se ha adoptado para evitar confusiones. La numeración (primera, segunda, tercera) no debe implicar operaciones secuenciales. En su lugar, todos los roles operan paralelamente.

2. Algunos consideran que los roles de apoyo (como RR.HH., administración y servicios generales) son roles de segunda línea. Para mayor claridad, el Modelo de las Tres Líneas considera que los roles de primera línea incluyan tanto las actividades de "primera línea" como las de la "oficina administrativa", y los de segunda línea comprenden las actividades adicionales centradas en cuestiones relacionadas con el riesgo.

3. En algunas organizaciones se identifican otros roles de tercera línea, como la supervisión, la inspección, la investigación, la evaluación y la remediación, que pueden formar parte de la función de auditoría interna u operar por separado.

3 El Modelo de las Tres Líneas del IIA CLAVE: Responsabilidad, Delegación, Alineamiento, informes dirección, recursos, comunicación, supervisión coordinación, colaboración 4

PROVEEDORES

DE

ASEGURAMIENTO

EXTERNO ORGANISMO DE GOBIERNO Responsabilidad de las partes interesadas en la supervisión organizacional DIRECCIÓN AUDITORÍA INTERNA Acciones (incluyendo la gestión de riesgo) Aseguramiento independiente

para alcanzar los objetivos organizacionales Roles de tercera Roles de primera Roles de segunda línea: Aseguramiento línea: disposición línea: experiencia, independiente y de productos o apoyo, supervisión objetivo, junto con el servicios a los y cuestionamiento asesoramiento sobre clientes, gestión de en materias todo lo relacionado con riesgo relacionadas con el riesgo el logro de los objetivos Roles del organismo de gobierno: integridad, liderazgo y transparencia ROLES CLAVE EN EL MODELO DE LAS TRES LÍNEAS Las organizaciones difieren considerablemente en su distribución de responsabilidades. Sin embargo, los siguientes roles de alto nivel funcionan para ampliar los Principios del Modelo de las Tres Líneas: El organismo de gobierno  Acepta la responsabilidad de las partes interesadas por la supervisión de la organización.  Se compromete con las partes interesadas para supervisar sus intereses y comunicarse de forma transparente sobre el logro de los objetivos.  Nutre una cultura que promueve el comportamiento ético y la responsabilidad.  Establece estructuras y procesos de gobierno, incluyendo los comités auxiliares, según sea necesario.  Delega la responsabilidad y proporciona recursos a la dirección para lograr los objetivos de la organización.  Determina el grado de aceptación de riesgo organizacional y ejerce la supervisión de la gestión de riesgo (incluyendo el control interno).  Supervisa el cumplimiento de las expectativas legales, reglamentarias y éticas.  Establece y supervisa una función de auditoría interna independiente, objetiva y competente.

Dirección Roles de primera línea  Dirige y orienta las acciones (incluyendo la gestión de riesgo) y la aplicación de recursos para lograr los objetivos de la organización.  Mantiene un diálogo continuo con el organismo de gobierno e informa sobre los resultados planificados, reales y esperados vinculados a los objetivos de la organización; y el riesgo.  Establece y mantiene estructuras y procesos adecuados para la gestión de operaciones y riesgo (incluyendo el control interno).  Garantiza el cumplimiento de las expectativas legales, reglamentarias y éticas. Roles de segunda línea  Proporciona conocimientos especializados adicionales, apoyo, supervisión y cuestionamientos relacionados con la gestión de riesgo, incluyendo: El desarrollo, la implementación y la mejora continua de las prácticas de gestión de riesgo o (incluyendo el control interno) a nivel de los procesos, los sistemas y la entidad. 5 El logro de los objetivos de la gestión de riesgo, tales como: cumplimiento de las leyes, o regulaciones y comportamiento ético aceptable, control interno, seguridad de la información y tecnología, sostenibilidad y aseguramiento de calidad.  Proporciona análisis e informes sobre la adecuación y eficacia de la gestión de riesgo (incluyendo el control interno). Auditoría interna  Mantiene la responsabilidad primaria ante el organismo de gobierno y la independencia de las responsabilidades de la gestión.  Comunica el aseguramiento independiente y objetivo junto con el asesoramiento a la dirección y al organismo de gobierno sobre la adecuación y la eficacia del gobierno y la gestión de riesgo

(incluyendo el control interno) para apoyar el logro de los objetivos organizacionales, promover y facilitar la mejora continua.  Informa al organismo de gobierno las deficiencias en la independencia y la objetividad y aplica las salvaguardas necesarias. Proveedores de aseguramiento externo  Proporciona aseguramiento adicional para: Satisfacer las expectativas legislativas y reglamentarias que sirven para proteger los o intereses de las partes interesadas. Satisfacer las solicitudes de la dirección y del organismo de gobierno para complementar o las fuentes internas de aseguramiento. 6 RELACIONES ENTRE LOS ROLES PRINCIPALES Entre el organismo de gobierno y la dirección (roles de primera y segunda línea) El organismo de gobierno suele establecer la Término clave dirección de la organización mediante la definición de la visión, la misión, los valores y el grado de aceptación de Director general (CEO): el individuo con riegos de la organización. A continuación, delega la una posición más elevada en la responsabilidad de la consecución de los objetivos organización con responsabilidad sobre organizacionales a la dirección, junto con los recursos las operaciones. necesarios. El organismo de gobierno recibe informes de la dirección sobre los resultados planificados, reales y esperados, así como informes sobre el riesgo y la gestión de riesgo. Las organizaciones varían en cuanto al grado de superposición y separación entre los roles del organismo de gobierno y la dirección. El organismo de gobierno puede ser de carácter más o menos "práctico" en lo que respecta a las cuestiones estratégicas y operacionales. El organismo de gobierno o la dirección pueden tomar la iniciativa en la elaboración del plan estratégico, o puede tratarse de una labor compartida. En algunas

jurisdicciones, el director general (en inglés, CEO) puede ser un miembro del organismo de gobierno e incluso puede ser su presidente. En todos los casos, es necesario que exista una comunicación sólida entre la dirección y el organismo de gobierno. El director general suele ser el centro de coordinación de esta comunicación, pero otros directores de la alta dirección pueden tener interacciones frecuentes con el organismo de gobierno. Las organizaciones tal vez deseen, y sus organismos de control pueden exigir, que los líderes de segunda línea, como un director de riesgos (en inglés, CRO) y un director de cumplimiento (en inglés, CCO), tengan una línea de información directa al organismo de gobierno. Esto es totalmente coherente con los Principios del Modelo de las Tres Líneas. Entre la dirección (ambos roles de primera y de segunda línea) y la auditoría interna La independencia de la auditoría interna de la dirección asegura que esté libre de obstáculos y sesgos en su planificación y en la realización de su trabajo, disfrutando de un acceso sin restricciones a las personas, los recursos y la información que requiere. Es responsable ante el organismo de gobierno. Sin embargo, la independencia no implica aislamiento. Debe haber una interacción regular entre la auditoría interna y la dirección para garantizar que la labor de la auditoría interna sea pertinente y esté en consonancia con las necesidades estratégicas y operacionales de la organización. A través de todas sus actividades, la auditoría interna construye su conocimiento y comprensión de la organización, lo que contribuye al aseguramiento y el asesoramiento que proporciona como asesor de confianza y socio estratégico. Se necesita colaboración y comunicación entre los roles de primera y segunda línea de la dirección y la auditoría interna para garantizar

que no haya duplicaciones, superposiciones ni brechas innecesarias. 7 Entre la auditoría interna y el organismo de gobierno La auditoría interna es responsable ante el organismo de gobierno y a veces se describe como los "ojos y oídos". Término clave Director ejecutivo de auditoría (DEA): la El organismo de gobierno es responsable de supervisar la persona de más alto rango en la auditoría interna, para lo cual es necesario: garantizar el organización que tiene la establecimiento de una función de auditoría interna responsabilidad de los servicios de independiente, lo que incluye la contratación y el despido auditoría interna, a menudo conocido del director ejecutivo de auditoría (DEA); servir de línea como el responsable de la auditoría principal de presentación de informes para el DEA4; interna o un título similar. aprobar y dotar de recursos el plan de auditoría; recibir y examinar los informes del DEA; y permitir el libre acceso del DEA al organismo de gobierno, incluyendo sesiones privadas sin la presencia de la dirección. Entre todos los roles El organismo de gobierno, la dirección y la auditoría interna tienen distintas responsabilidades, pero todas las actividades deben estar alineadas con los objetivos de la organización. La base para lograr una coherencia exitosa es la coordinación, colaboración y comunicación regulares y eficaces.

4. Para propósitos administrativos, el DEA también puede reportar a un nivel superior correspondiente de la alta dirección.

8 APLICANDO EL MODELO Estructura, roles y responsabilidades El Modelo de las Tres Líneas es más efectivo cuando se adapta para ajustarse a los objetivos y circunstancias de la organización. La forma en que se estructura una organización y cómo se asignan los

roles son cuestiones que deben determinar la dirección y el organismo de gobierno. El organismo de gobierno podrá establecer comités que supervisen aspectos concretos de su responsabilidad, como la auditoría, el riesgo, las finanzas, la planificación y la compensación. Dentro de la dirección, es probable que haya arreglos funcionales y jerárquicos y una tendencia creciente hacia la especialización a medida que las organizaciones crecen en tamaño y complejidad. Los roles, los equipos e incluso los individuos pueden tener responsabilidades que incluyan los roles de primera y segunda línea. Sin embargo, la dirección y supervisión de los roles de segunda línea pueden estar diseñados para asegurar un grado de independencia de los que tienen roles de primera línea, e incluso de los niveles más altos de dirección, mediante el establecimiento de líneas primarias de responsabilidad y presentación de informes al organismo de gobierno. El Modelo de las Tres Líneas permite tantas líneas de información entre la dirección y el organismo de gobierno como sea necesario. En algunas organizaciones, en particular las instituciones financieras reguladas, existe un requisito estatutario para que tales disposiciones garanticen una independencia suficiente. Incluso en estas situaciones, aquellos en la dirección dentro de la primera línea siguen siendo los responsables de la gestión de riego. Los roles de segunda línea pueden incluir el monitoreo, asesoramiento, orientación, pruebas, análisis e informes sobre asuntos relacionados con la gestión de riesgo. En la medida en que estos representan un apoyo y cuestionamiento para quienes desempeñan roles de primera línea y son parte integral de las decisiones y acciones de la dirección, los roles de segunda línea forman parte de las responsabilidades de la dirección y nunca se encuentran completamente independientes de la dirección, independientemente de las

líneas de presentación de informes y las responsabilidades. Una característica que determina los roles de tercera línea es la independencia de la dirección. Los Principios del Modelo de las Tres Líneas describen la importancia y la naturaleza de la independencia de la auditoría interna, estableciendo la auditoría interna aparte de otros roles y permitiendo el valor distintivo de su aseguramiento y asesoramiento. La independencia de la auditoría interna se salvaguarda al no tomar decisiones ni tomar medidas que formen parte de las responsabilidades de la dirección (incluyendo la gestión de riesgo) y al no ofrecer aseguramiento sobre las actividades de las que la auditoría interna tiene una responsabilidad actual o reciente. Por ejemplo, en algunas organizaciones, se le solicita al DEA que asuma responsabilidades adicionales en la toma de decisiones sobre actividades que utilicen competencias similares, como aspectos de cumplimiento legal o Gestión de Riesgo Empresarial (en inglés, ERM). En tales circunstancias, la auditoría interna no es independiente de estas actividades ni de sus resultados, y, por lo tanto, cuando el organismo de gobierno busca aseguramiento independientes y objetivos junto con el asesoramiento en relación con esas áreas, es necesario que su disposición sea realizada por un tercero cualificado. 9 Supervisión y aseguramiento El organismo de gobierno se basa en los informes de la dirección (que comprenden a aquellos de los roles de primera y segunda línea), la auditoría interna y otros para ejercer la supervisión y el logro de sus objetivos, de los cuales es responsable ante las partes interesadas. La dirección proporciona un aseguramiento valioso (también conocido como dictamen) sobre los resultados planificados, reales y esperados, sobre el riesgo y

sobre la gestión de riesgo, aprovechando la experiencia y los conocimientos especializados directos. Los que desempeñan roles de segunda línea proporcionan aseguramiento adicional sobre cuestiones relacionadas con el riesgo. Debido a la independencia de la auditoría interna respecto de la dirección, el aseguramiento que proporciona conlleva el mayor grado de objetividad y confianza más allá de lo que los que desempeñan roles de primera y segunda línea pueden proporcionar al organismo de gobierno, independientemente de las líneas de información. También se puede obtener aseguramiento adicional de los proveedores externos. Coordinación y alineación El gobierno eficaz requiere la asignación adecuada de responsabilidades, así como una fuerte alineación de las actividades a través de la cooperación, la colaboración y la comunicación. El organismo de gobierno busca la confirmación mediante la auditoría interna que las estructuras y los procesos de gobierno estén diseñados y funcionen adecuadamente según lo previsto. 10 Acerca del Instituto de Auditores Internos El Instituto de Auditores Internos (IIA) es el defensor, educador y proveedor de normas, orientación y certificaciones más ampliamente reconocido de la profesión de auditoría interna. Establecido en 1941, el IIA atiende hoy a más de 200,000 miembros de más de 170 países y territorios. La sede mundial del IIA se encuentra en Lake Mary, Florida. Para obtener más información, visite: www.globaliia.org. Cláusula de exención de responsabilidad El IIA publica este documento con fines informativos y educativos. Este material no pretende proporcionar respuestas definitivas a determinadas circunstancias individuales y, como tal, sólo se pretende utilizar como guía. El IIA recomienda que siempre busque asesoramiento independiente de expertos que se relacionen directamente con cualquier situación específica. El IIA no acepta ninguna

responsabilidad por cualquier persona colocando su dependencia exclusiva de este material. Derechos de autor Derecho de autor © 2020 por el Instituto de Auditores Internos, Inc. Todos los derechos reservados. Para obtener permiso para reproducir, póngase en contacto con copyright@theiia.org. La traducción al español de este documento fue autorizada por The Institute of Internal Auditors, Inc. y fue realizada por la Fundación Latinoamericana de Auditores Internos – FLAI. Traductora: Suzzet González (servicios contratados), revisor: Roberto Loo, Javier Faleato y Jorge Badillo, CIA, CRMA, CCSA, CGAP, CISA. Julio 2020 Sede mundial Instituto de Auditores Internos 1035 Greenwood Blvd., Suite 401 Lake Mary, FL 32746, Estados Unidos

Teléfono: +1-407-937-1111

Fax: +1-407-937-1101

www.globaliia.org