Control interno contable y operativo en empresas privadas: la guía práctica del marco COSO

Por Rebeca Sequeira

El control interno es mucho más que un requisito contable: es la base para proteger activos, reducir riesgos y garantizar información financiera confiable. En empresas privadas de Costa Rica, adoptar marcos internacionales como COSO permite ordenar procesos, asignar responsabilidades y crear una cultura de transparencia y eficiencia.

COSO en palabras simples

El marco COSO (Committee of Sponsoring Organizations of the Treadway Commission) es un modelo de referencia ampliamente reconocido para diseñar, implementar y evaluar el control interno en las organizaciones. En la práctica, COSO ayuda a identificar eventos que puedan afectar a la entidad, a administrar riesgos clave, y a alinear la gestión de controles con los objetivos estratégicos y financieros de la empresa. Por ejemplo, COSO permite a la alta gerencia obtener una visión  de los riesgos del negocio y coordinar la implementación de planes de mitigación en términos contables y control interno, COSO es necesario porque provee criterios para evaluar la eficacia de los procesos de control y seguridad razonable en los informes financieros y en la salvaguarda de activos.

COSO resulta necesario en el control financiero porque fomenta una cultura de gobierno corporativo  y gestión de riesgos proactiva. Al integrar los cinco componentes clásicos (ambiente de control, evaluación de riesgos, actividades de control, información-comunicación y monitoreo), COSO fortalece la política de administración del riesgo de la información. En resumen, siguiendo COSO las empresas pueden mejorar la planificación estratégica, prevenir fraudes y garantizar el cumplimiento normativo.

Para lograrlo, COSO se apoya en cinco componentes clave:

1. Ambiente de control: liderazgo ético y supervisión desde la gerencia.

2. Evaluación de riesgos: identificar los escenarios que pueden afectar la operación.

3. Actividades de control: políticas y procedimientos que reducen esos riesgos.

4. Información y comunicación: garantizar que los datos fluyan de manera clara y oportuna.

5. Monitoreo: revisar periódicamente la eficacia de los controles.

Ejemplos de controles bajo COSO

• Segregación de funciones: la persona que registra una factura no debe ser la misma que la autoriza o paga. Esto previene fraudes y errores.

• Conciliaciones bancarias: deben hacerse de forma mensual y ser revisadas por un responsable distinto al que ejecuta los pagos.

• Controles de compras: requerir aprobaciones escalonadas en órdenes de compra para evitar sobreprecios o conflictos de interés.

• Inventarios: realizar conteos físicos periódicos y compararlos contra registros contables para detectar diferencias.

• Controles de acceso digital: establecer usuarios y contraseñas diferenciadas en sistemas contables, evitando accesos sin autorización.

• Monitoreo constante: implementar reportes internos que alerten de variaciones inusuales en gastos, ingresos o márgenes.

Estos ejemplos muestran cómo COSO se traduce en acciones concretas que protegen el patrimonio de la empresa y fortalecen la calidad de la información financiera.

Comparación con COBIT e ISO 31000

Además de COSO, existen otros marcos de control y riesgos que las empresas usan según sus necesidades:

COBIT (Control Objectives for Information and Related Technology): desarrollado por ISACA, es un framework centrado en la gobernanza y gestión de TI. COBIT 2019 alinea la tecnología con los objetivos de negocio, definiendo procesos, estructuras y políticas para asegurar que los sistemas de TI entreguen valor y gestionen riesgos cibernéticos. Por ejemplo, un banco puede usar COBIT para diseñar controles de seguridad en sus sistemas de pagos digitales.

ISO 31000 – Gestión del Riesgo: es un estándar internacional que provee un enfoque estructurado para identificar, evaluar y tratar riesgos en cualquier organización. ISO 31000 enfatiza la integración de la gestión de riesgos en todos los procesos, la adaptación al contexto específico y la mejora continua del sistema de riesgos.

COSO (y COSO ERM 2017): mientras COSO se centra en el control interno integral, el COSO ERM 2017 amplía el enfoque hacia la gestión estratégica de riesgos en toda la empresa. COSO ERM 2017 incluye componentes de gobernanza, establecimiento de objetivos, desempeño, revisión y monitoreo, e información–comunicación.

Tendencias globales que influyen en el control interno

• Digitalización e inteligencia artificial (IA): permiten automatizar conciliaciones y detectar anomalías en tiempo real.

• Revisión  continua: monitoreo permanente de operaciones  en lugar de revisiones anuales.

• Ciberseguridad: controles internos que protegen la información contable y operativa ante ataques digitales.

• ESG (Environmental, Social and Governance): controles que verifican la calidad de la información ambiental y social junto con la financiera.

• Trabajo remoto y nube: nuevas políticas de control para asegurar trazabilidad y accesos seguros en entornos digitales.

El marco COSO ofrece a las empresas privadas en Costa Rica una guía práctica para transformar el control interno en un motor de confianza y sostenibilidad. Más allá de cumplir con normas, implementar controles bien diseñados permite anticipar riesgos, mejorar procesos y generar información financiera que sirva como base real para la toma de decisiones. En un entorno complejo, las compañías que ven el control interno como una inversión estratégica y no como un simple requisito.