IIA - Las tres lienas de defensa para una efectiva gestión de riesgos y control

y)

IA Declaración de Posición:

LAS TRES LINEAS DE DEFENSA

PARA UNA EFECTIVA GESTION

DE RIESGOS Y CONTROL

ENERO 2013

Ny EHNA The Institute of Internal Auditors Antes de las Tres Líneas: Establecimiento de Estrategia y Supervisión de la Gestión de Riesgos……………….………………... IIA – Declaración de

Posición:

LAS TRES LINEAS DE

DEFENSA PARA UNA

EFECTIVA GESTION DE

RIESGOS Y CONTROL INTRODUCCION En las organizaciones del siglo XXI, no es raro encontrar diversos equipos de auditores internos, especialistas en gestión de riesgos corporativos, oficiales de cumplimiento, especialistas en control interno, inspectores de calidad, investigadores de fraude y otros profesionales del riesgo y del control, trabajando juntos para ayudar a sus organizaciones a gestionar el riesgo. Cada una de estas especialidades tiene una perspectiva única y habilidades específicas que pueden ser invaluables para las organizaciones donde prestan sus servicios, pero las responsabilidades relacionadas con la gestión de riesgos y el control están cada vez más distribuidas en múltiples departamentos y divisiones, y las obligaciones deben ser coordinadas cuidadosamente para asegurar que los procesos de riesgo y control funcionen de forma satisfactoria. No es suficiente que existan diversas funciones de riesgo y control – el desafío consiste en asignar roles específicos y coordinar con eficacia y eficiencia estos grupos de manera que no existan "brechas" en la cobertura de los controles ni duplicaciones innecesarias. Deben ser definidas responsabilidades claras, de modo que cada grupo de profesionales de riesgo y control entienda los límites de sus responsabilidades y cómo encaja su rol en la

estructura general de riesgo y control de la organización. Hay mucho en juego. Sin un enfoque cohesionado y coordinado, los limitados recursos de riesgo y control podrían no ser desplegados efectivamente, y riesgos significativos podrían no ser identificados o gestionados adecuadamente. En el peor de los casos, las comunicaciones entre los diversos grupos de riesgo y control pueden caer en un debate permanente sobre qué tareas específicas deben ser cumplidas por cada grupo. El problema puede existir en cualquier organización, independientemente de si se utiliza un marco de gestión de riesgos corporativos formal. Aunque los marcos para la gestión de riesgos pueden ser efectivos en identificar los tipos de riesgos que las organizaciones modernas deben controlar, estos marcos no consideran cómo las tareas específicas deberían ser asignadas y coordinadas dentro de la organización.

IIA DECLARACIÓN DE POSICIÓN: LAS TRES LÍNEAS DE DEFENSA PARA UNA EFECTIVA GESTIÓN DE RIESGOS Y CONTROL / 1

Afortunadamente, están surgiendo buenas prácticas que pueden ayudar a las organizaciones a delegar y coordinar las tareas esenciales de la gestión de riesgos mediante un enfoque sistemático. El modelo de las Tres Líneas de Defensa proporciona una manera simple y efectiva para mejorar las comunicaciones en la gestión de riesgos y control mediante la aclaración de las funciones y deberes esenciales relacionados. Este modelo proporciona una mirada nueva a las operaciones, ayudando a asegurar el éxito continuo de las iniciativas de gestión del riesgo, y este modelo es apropiado para cualquier organización – independientemente de su tamaño o complejidad. Aún en organizaciones donde un marco o sistema de gestión de riesgos formal no existe, el modelo de Las Tres Líneas de Defensa

puede aumentar la claridad respecto a los riesgos y los controles y ayudar a mejorar la efectividad de los sistemas de gestión de riesgos.

ANTES DE LA S TRE S LÍNEA S: ESTAB LECIMIENTO DE ESTRATEGIA Y SUPERVISIÓN DE LA GESTIÓN DE RIESGOS En el modelo de las Tres Líneas de Defensa, el control de la gerencia es la primera línea de defensa en la gestión de riesgos; las varias funciones de supervisión de riesgos, controles y cumplimiento establecidas por la administración, son la segunda línea de defensa; y el aseguramiento independiente es la tercera. Cada una de estas "líneas" juega un papel distinto dentro del marco amplio de gobernabilidad de la organización.

EL MODELO DE LAS TRES LINEAS DE DEFENSA 1º Línea de defensa 2º Línea de defensa 3º Línea de defensa Adaptado de la Guía emitida por ECIIA/FERMA sobre la 8va Directiva de Derecho de Sociedades de la Unión Europea, artículo 41 Aunque ni los organismos de gobierno corporativo ni la alta dirección figuran entre las tres "líneas" en este modelo, no hay discusión de que el sistema de gestión de riesgos no estaría completo sin considerar primero las funciones esenciales de los organismos de gobierno corporativo (es decir, los consejos de administración u órganos equivalentes) y de la alta dirección. Los organismos de gobierno corporativo y la alta dirección son los principales interesados en ser atendidos por las "líneas", y son las partes que mejor están posicionadas 2 / IIA DECLARACIÓN DE POSICIÓN: LAS TRES LÍNEAS DE DEFENSA PARA UNA EFECTIVA GESTIÓN DE RIESGOS Y CONTROL

para ayudar a asegurar que el modelo de las Tres Líneas Defensa esté reflejado en los procesos de gestión de riesgos y control de la organización. La alta dirección y los organismos de gobierno corporativo conjuntamente deben rendir cuentas y son responsables por la fijación de objetivos de la organización, la definición de estrategias para alcanzar dichos objetivos, y el establecimiento de estructuras de gobierno corporativo y procesos para gestionar mejor los riesgos en el cumplimiento de esos objetivos. El modelo de las Tres Líneas de Defensa se implementa mejor con el apoyo activo y guía de los organismos de gobierno corporativo y la alta dirección de la organización.

LA PRIMERA LINEA DE DEFENSA: LA GESTION OPERATIVA El modelo de las Tres Líneas de Defensa distingue tres grupos (o líneas) que participan en una efectiva gestión de riesgos: • Las funciones que son propietarias de los riesgos y los gestionan. • Las funciones que supervisan los riesgos. • Las funciones que proporcionan aseguramiento independiente.

Como primera línea de defensa, las gerencias operativas son propietarias de los riesgos y los gestionan. Estas gerencias también son responsables de la implementación de acciones correctivas para hacer frente a deficiencias de proceso y control. La gerencia operativa es responsable de mantener un control interno efectivo y de ejecutar procedimientos de control sobre los riesgos de manera constante en el día a día. La gerencia operativa identifica, evalúa, controla y mitiga los riesgos, guiando el desarrollo e implementación de políticas y procedimientos internos que aseguren que las actividades efectuadas son consistentes con las metas y objetivos. A través de una estructura de responsabilidad distribuida en cascada, los gerentes de nivel medio diseñan e

implementan procedimientos detallados que sirven como controles y supervisan la ejecución de tales procedimientos por parte de sus empleados. La gerencia operativa sirve naturalmente como primera línea de defensa porque los controles están diseñados dentro de los sistemas y procesos bajo su dirección como administración operacional. Deberían estar implementados adecuados controles de gestión y supervisión paraa segurars uc umplimientoy pa ra de stacarex cepcione s de control, procesos inadecuados y eventos inesperados.

IIA DECLARACIÓN DE POSICIÓN: LAS TRES LÍNEAS DE DEFENSA PARA UNA EFECTIVA GESTIÓN DE RIESGOS Y CONTROL / 3

LA SEGUNDA LINEA DE DEFENSA: FUNCIONES DE GESTIÓN DE RIESGOS Y CUMPLIMIENTO En un mundo perfecto, tal vez sólo una línea de defensa sería necesaria para asegurar una gestión de riesgos efectiva. En el mundo real, sin embargo, una sola línea de defensa con frecuencia puede resultar insuficiente. La gerencia establece diversas funciones de gestión de riesgos y cumplimiento para ayudar a crear y/o monitorear los controles de la primera línea de defensa. Las funciones específicas varían según la organización e industria, pero las funciones típicas de esta segunda línea de defensa comprenden: • Una función de gestión de riesgos (y/o comité) que facilita y monitorea la implementación de prácticas efectivas de gestión de riesgos por parte de la gerencia operativa y que asiste a los propietarios del riesgo en la definición del objetivo de exposición al riesgo y en la presentación adecuada de información relacionada con riesgos a toda la organización. • Una función de cumplimiento para monitorear diversos riesgos específicos tales como el

incumplimiento de leyes y regulaciones aplicables. Con esta capacidad, esta función independiente reporta directamente a la alta dirección, y en algunos sectores económicos, directamente a los organismos de gobierno corporativo. Múltiples funciones de cumplimiento con frecuencia existen en una misma organización, con responsabilidades para monitorear tipos específicos de cumplimiento, como salud y seguridad, cadena de suministros, ambiente o control de la calidad. • Una función de contraloría que monitorea riesgos financieros y la emisión de la información financiera. La Gerencia establece estas funciones para asegurar que la primera línea de defensa está apropiadamente diseñada, implementada y operando según lo previsto. Cada una de estas funciones tiene algún grado de independencia respecto de la primera línea de defensa, pero son por naturaleza funciones gerenciales. Como funciones gerenciales, pueden intervenir directamente en la modificación y desarrollo de los sistemas de control interno y riesgos. Por lo tanto, la segunda línea de defensa tiene un propósito vital, pero no puede ofrecer análisis del todo independientes a los organismos de gobierno corporativo respecto a la gestión de riesgos y a los controles internos. Las responsabilidades de estas funciones varían según su naturaleza específica, pero pueden incluir: • Apoyar en la administración de políticas en cuanto a la definición de roles y responsabilidades y el establecimiento de objetivos para su implementación. • Proporcionar marcos para la gestión de riesgos. • Identificar asuntos conocidos y emergentes. • Identificar cambios en el apetito de riesgo implícito de la organización. 4 / IIA DECLARACIÓN DE POSICIÓN: LAS TRES LÍNEAS DE DEFENSA PARA UNA EFECTIVA GESTIÓN DE RIESGOS Y CONTROL

• Asistir a la administración en el desarrollo de procesos y controles para la gestión de riesgos y problemas. • Proporcionar guía y entrenamiento en procesos de gestión de riesgos.

El estableci- • Facilitar y monitorear la implementación de prácticas efectivas de gestión de miento de riesgos por parte de la gerencia operativa una actividad • Alertar a la gerencia operativa de asuntos emergentes y de cambios en los de auditoría escenarios regulatorios y de riesgos. interna • Monitorear la adecuación y efectividad del control interno, la exactitud e profesional integridad de la información, el cumplimiento de las leyes y regulaciones, y debería ser un la remediación oportuna de deficiencias. requerimiento de gobierno LA TERCERA LINEA DE DEFENSA: AUDITORIA INTERNA corporativo Los auditores internos proporcionan a los organismos de gobierno para todas las corporativo y a la alta dirección un aseguramiento comprensivo basado en organizaciones. Esto no el más alto nivel de independencia y objetividad dentro de la organización. sólo es imporEste alto nivel de independencia no está disponible en la segunda línea de tante para las defensa. Los auditores internos proveen aseguramiento sobre la efectividad grandes y del gobierno corporativo, la gestión de riesgos y el control interno, medianas incluyendo la manera en que la primera y segunda línea de defensa organizacioalcanzan sus objetivos de gestión de riesgos y control. El alcance de este nes, sino aseguramiento, que es reportado a los organismos de gobierno corporativo también y alta dirección, usualmente cubre: puede ser igualmente

importante • Un amplio rango de objetivos, incluyendo la eficiencia y efectividad para las de las operaciones, salvaguarda de activos, confiabilidad e pequeñas integridad de los procesos de reporte, y cumplimiento con leyes, entidades, ya regulaciones, políticas, procedimientos y contratos. que ellas • Todos los elementos de los marcos de gestión de riesgos y control igualmente interno, que incluyen: ambiente de control interno, todos los pueden componentes del marco de gestión de riesgos de la organización (por enfrentar ejemplo, identificación de riesgos, evaluación de riesgos y ambientes respuesta), información y comunicación, y monitoreo. complejos, con una • La entidad en su conjunto, divisiones, subsidiarias, unidades menos formal operativas y funciones – incluyendo procesos de negocios, tales pero robusta como ventas, producción, marketing, seguridad, funciones de estructura clientes, y operaciones – como también funciones de soporte (por organizacioejemplo, contabilización de ingresos y gastos, recursos humanos, nal, para adquisiciones, remuneraciones, presupuestos, gestión de asegurar la infraestructura y activos, inventario, y tecnología de la información) efectividad de sus procesos de gobierno corporativo y gestión de riesgos.

IIA DECLARACIÓN DE POSICIÓN: LAS TRES LÍNEAS DE DEFENSA PARA UNA EFECTIVA GESTIÓN DE RIESGOS Y CONTROL / 5

El establecimiento de una actividad de auditoría interna profesional debería ser un requerimiento de gobierno corporativo para todas las organizaciones. Esto no sólo es importante para las grandes y medianas organizaciones, sino también puede ser igualmente importante para las pequeñas entidades, ya que ellas igualmente pueden enfrentar ambientes complejos,

con una menos formal pero robusta estructura organizacional, para asegurar la efectividad de sus procesos de gobierno corporativo y gestión de riesgos. Auditoría interna contribuye activamente a la efectividad del gobierno corporativo organizacional proporcionando ciertas condiciones – fomentando su independencia y profesionalismo – que se cumplan. La mejor práctica es establecer y mantener una función de auditoría interna independiente con personal adecuado y competente, lo cual incluye: • Actuar en concordancia con las normas internacionales reconocidas para la práctica de la auditoría interna. • Reportar a un nivel suficientemente alto para ser capaz de desempeñar sus funciones de manera independiente. • Tener una activa y efectiva línea de reporte con los organismos de gobierno corporativo. AUDITORES EXTERNOS, REGULADORES Y OTROS ENTES EXTERNOS Los auditores externos, reguladores y otros entes externos se ubican fuera de la estructura de la organización, pero ellos pueden tener un rol en la estructura general de gobierno corporativo y control de la organización. Este es particularmente el caso en industrias reguladas, como servicios financieros o seguros. Los reguladores en ocasiones establecen requerimientos con la intención de fortalecer los controles de una organización y en otras ocasiones realizan una función independiente y objetiva para evaluar la totalidad o una parte de la primera, segunda o tercera línea de defensa con respecto a esos requerimientos. Cuando están efectivamente coordinados, auditores externos, reguladores y otros grupos fuera de la organización pueden ser considerados como adicionales líneas de defensa, proporcionando aseguramiento a las partes interesadas de la organización, incluyendo los organismos de gobierno corporativo y la alta dirección. Dados los objetivos y el alcance específico de su misión, sin embargo, la información de

riesgo recopilada es generalmente menos extensa que el alcance abordado por las tres líneas de defensa internas de la organización. 6 / IIA DECLARACIÓN DE POSICIÓN: LAS TRES LÍNEAS DE DEFENSA PARA UNA EFECTIVA GESTIÓN DE RIESGOS Y CONTROL COORDINACION DE LAS TRES LINEAS DE DEFENSA Debido a que cada organización es única y puede variar según situaciones específicas, no hay una forma "correcta" para coordinar las Tres Líneas de Defensa. Sin embargo, al asignar las responsabilidades específicas y de coordinación entre las funciones de gestión de riesgos, puede ser útil tener en cuenta el papel fundamental de cada grupo en el proceso de gestión de riesgos. PRIMERA LINEA DE DEFENSA SEGUNDA LINEA DE DEFENSA TERCERA LINEA DE DEFENSA Propiedad/Gestión de Riesgos Control de Riesgos y Cumplimiento Aseguramiento de Riesgos • Gerencia operativa • Independencia Limitada • Auditoría Interna • Reportes principalmente a la • Mayor Independencia gerencia • Reportes a los organismos de gobierno corporativo IIA DECLARACIÓN DE POSICIÓN: LAS TRES LÍNEAS DE DEFENSA PARA UNA EFECTIVA GESTIÓN DE RIESGOS Y CONTROL / 7 Las tres líneas deberían existir de alguna forma en todas las organizaciones, independientemente de su tamaño o complejidad. La gestión del riesgo normalmente es más fuerte si existen tres líneas de defensa separadas y claramente identificadas. Sin embargo, en situaciones excepcionales, especialmente en organizaciones pequeñas, ciertas líneas de defensa pueden estar combinadas. Por ejemplo, existen ocasiones donde a auditoría interna se le Las tres líneas

ha solicitado establecer y/o administrar actividades de gestión de riesgos o de deberían cumplimiento. En esas situaciones, auditoría interna debería comunicar existir de claramente a los organismos de gobierno corporativo y a la alta dirección el alguna forma impacto de la combinación. Si responsabilidades duales se asignan a una sola en todas las persona o departamento, sería apropiado considerar la separación de la organizacioresponsabilidad de estas funciones más adelante, para establecer las tres líneas. nes, independientemente Independientemente de cómo el modelo de las Tres Líneas de Defensa es de su tamaño o complejiimplementado, la alta dirección y los organismos de gobierno corporativo deben dad. La comunicar claramente que esperan que la información sea compartida y las gestión del actividades coordinadas entre cada uno de los grupos responsables de la gestión riesgo de riesgos y controles de la organización. Bajo las Normas Internacionales para normalmente la Práctica Profesional de Auditoría Interna, los directores ejecutivos de auditoría es más fuerte son específicamente requeridos a "compartir información y coordinar las si existen tres actividades con otros proveedores internos y externos de servicios de líneas de aseguramiento y consultoría, para asegurar una cobertura adecuada y minimizar defensa la duplicación de esfuerzos.” separadas y claramente identificadas PRACTICAS RECOMENDADAS • Los procesos de riesgo y control deben ser estructurados de acuerdo con el Modelo de las Tres Líneas de Defensa. • Cada línea de defensa debería ser apoyada en definiciones de funciones y políticas apropiadas. • Debe existir una adecuada coordinación entre las distintas líneas de

defensa para fomentar la eficiencia y la eficacia. • Las funciones de riesgo y de control que operan en las diferentes líneas deben compartir apropiadamente el conocimiento y la información para ayudar a todas las funciones a un mejor cumplimiento de sus funciones y de una manera eficiente. • Las líneas de defensa no deberían ser mezcladas o coordinarse en una manera que pueda comprometer su eficacia. • En situaciones en que las funciones de las diferentes líneas se mezclan, los Órganos d e G obierno d eben ser informados de la estructura y su impacto. Para las organizaciones que no han establecido una actividad de auditoría interna, la Alta Dirección y/o el Órganos de Gobierno deberán explicar y dar a conocer a las partes interesadas que ellos han considerado como suficiente el aseguramiento que se obtendrá de la eficacia del gobierno de la organización, gestión de riesgos y de la estructura de control. 8 / IIA DECLARACIÓN DE POSICIÓN: LAS TRES LÍNEAS DE DEFENSA PARA UNA EFECTIVA GESTIÓN DE RIESGO Y CONTROL Acerca del Instituto Para otros materiales de orientación autorizada proporcionados por el IIA, por favor visite nuestro Se estableció en 1941, El Instituto de sitio web en www. globaliia.org/standards-guidance. Auditores Internos ( IA, por sus siglas en Liberación de Responsabilidad inglés) es una asociación profesional internacional cuya sede central global está ubicada en Altamonte Springs, Florida, Estados El HA publica este documento para fines Unidos de Norteamérica. El IIA es líder informativos y educativos. Este material de reconocido así como principal defensor y educador orientación no tiene intención de proporcionar

de la auditoría interna. respuestas definitivas para circunstancias individuales específicas, y como tal sólo se elaboró Declaraciones de Posición para ser utilizado como una orientación. El IIA recomienda que usted siempre busque asesoría Las Declaraciones de Posición son parte del experta independiente con relación directa a Marco Internacional para la Práctica cualquier situación específica. El IIA no acepta Profesional (IPPF, por sus siglas en inglés) del responsabilidad alguna a causa de que cualquier IIA, el marco conceptual que organiza la persona haya confiado única y exclusivamente en orientación autorizada promulgada por el IIA. esta orientación. Un confiable y global organismo que establece orientación, el ITA proporciona a los Derechos de Autor profesionales de auditoría interna a nivel mundial orientación autorizada organizada en el Derechos de autor O 2013 Instituto de Auditores IPPF como orientación obligatoria y orientación Internos (The IIA). Para obtener permiso de fuertemente recomendada. Las declaraciones de reproducción, favor contactar al TIA en posición son parte de la categoría de orientación guidance(Otheiia.org. Fuertemente Recomendada, su cumplimiento no es obligatorio, pero si es fuertemente “Copyright O 2013 by The Institute of Internal recomendado, siendo esta guía respaldada por el Auditors, 247 Maitland Avenue, Altamonte IIA a través de un proceso de revisión y aprobación Springs, Florida 32701 — 4201, USA. All rights formal. reserved.” Las Declaraciones de Posición ayudan a una amplia Traducción al Español gama de partes interesadas, incluyendo aquellas que no están en la profesión de auditoría interna, en la

comprensión de importantes asuntos de gobierno La traducción al español fue realizada por el corporativo, riesgo y control, y delinean los roles y Instituto de Auditores Internos de Chile, responsabilidades relacionados de la auditoría www.laichile.com interna.

Translation: “Permission has been obtained from the copyright holder, The Institute of Internal Auditors, 247 Maitland Avenue, Altamonte Springs, Florida 32701-4201, U.S.A., to publish this translation, which is the same in all material transmitted in any form, or by any means respects, as the original unless approved as electronic, mechanical, photocopying, recording, changed. No part of this document may be or otherwise, without prior written permission of reproduced, stored in any retrieval system, or IIA, Inc.”

SEDE CENTRAL GLOBAL T: +1-407-937-1111

247 Maitland Avenue F: +1-407-937-1101 Altamonte Springs, FL 32701 USA W: www.globaliia.org