Modelo COSO: características, beneficios e implementación
Ciberseguridad y Cumplimiento Simplificado para Startups y PYMEs en México y LATAM 🔐
La seguridad y el cumplimiento de tu empresa es responsabilidad de todos sus integrantes. Para facilitar este proceso, se creó un marco de referencia para la implementación y gestión de un sistema de control interno adecuado. Este se denomina COSO y aquí te explicamos todo lo que necesitas saber para ejecutarlo.
¿Qué es COSO?
El Comité de Organizaciones Patrocinadoras de la Comisión Treadway, conocido como COSO (Committee of Sponsoring Organizations of the Treadway Commission), es una organización de Estados Unidos creada en 1985. Su objetivo principal es investigar las causas del fraude financiero en las empresas.
COSO emite recomendaciones para mejorar la gestión de riesgos, prevenir el fraude y establecer controles internos efectivos. Está compuesto por cinco organizaciones:
- American Accounting Association (AAA): es la Asociación Americana de Contabilidad, una organización profesional y académica para la educación y el estudio de la contabilidad.
- American Institute of Certified Public Accountants (AICPA): es el Instituto Norteamericano de Contadores Públicos Certificados que forman parte de empresas de contabilidad y se encargan de hacer auditorías externas de estados financieros.
- Financial Executive Institute (FEI): es la Asociación Internacional de Ejecutivos de Finanzas. Está dedicada al desarrollo, formación e intercambio de conocimientos entre los profesionales que pertenecen al ámbito financiero.
- Institute of Internal Auditors (IIA): es el Instituto de Auditores Internos. Está encargado de la evaluación de los sistemas de control interno en las organizaciones.
- Institute of Management Accountants (IMA): es el Instituto de Contadores Empresariales. Su objetivo es promover la educación y el desarrollo en las áreas de contabilidad de gestión y finanzas, abogar por las mejores prácticas comerciales y abrir un espacio para la investigación.
Concepto de control interno
Según COSO, el control interno es un proceso que asegura el cumplimiento de los objetivos de la organización, especialmente en cuanto a la gestión de informes financieros y el cumplimiento normativo. Este proceso requiere la integración de todos los departamentos de la empresa, incluyendo el gobierno corporativo.
Evolución del modelo COSO en el tiempo
El modelo COSO fue creado en 1992, bajo el nombre de Internal Control - Integrated Framework o también llamado COSO I. Con el tiempo ha experimentado actualizaciones que permiten garantizar la eficiencia de las operaciones y el cumplimiento de las leyes.
En total, el modelo de control interno COSO ha tenido 3 versiones. Veamos a continuación los cambios existentes, entre ellas:
COSO I: Internal Control - Integrated Framework
En 1992, el Comité de Organizaciones Patrocinadoras de la Comisión Treadway publicó el Informe COSO I, conocido también como Internal Control - Integrated Framework. Su objetivo fue definir un marco integrado que permitiera a las empresas evaluar y mejorar sus sistemas de control interno sobre la información financiera.
El COSO exigía compromiso con la integridad y los valores éticos. Además, establecía las estructuras de autoridad, la rendición de cuentas, la evaluación de riesgos y el análisis de los cambios necesarios para la consecución de los objetivos.
COSO II: Modelo COSO ERM (Enterprise Risk Management – Integrated Framework)
En 2004, se publicó el Enterprise Risk Management - Integrated Framework o COSO II. Este marco integrado de gestión de riesgo amplió la importancia del control interno en todas las áreas de la empresa, incluyendo la junta directiva, el consejo de administración y demás empleados.
El COSO II está diseñado para detectar eventos potenciales que pueden afectar a todo tipo de organización y ofrecer una seguridad razonable para el logro de los objetivos.
COSO III: actualizado posteriormente en el modelo COSO ERM.
El modelo COSO III fue publicado en 2013, con el objetivo de resaltar la agilidad de los sistemas de gestión de riesgos para la adaptación a los entornos, la confianza en la eliminación de riesgos, el cumplimiento y la comunicación.
En 2017, se actualizó por el modelo COSO ERM, con una mejoría en la cobertura de riesgos que enfrenta todo tipo de organización.
Componentes del modelo COSO de control interno
El modelo COSO comprende al menos cinco elementos esenciales para el correcto control interno:
Ambiente de control
Funciona como la base de todos los demás componentes del control interno, ya que de él dependen la disciplina, la estructura organizacional, las políticas administrativas, la ética institucional y las relaciones, desde la alta dirección hasta los empleados operativos.
El ambiente de control influye en los objetivos y la estrategia que implementará la empresa, como un proceso integrado y dinámico que va más allá de un conjunto de normas aplicables o reglas.
Evaluación de riesgos
Consiste en el análisis de cada riesgo, interno y externo, al que se expone una empresa para planificar cómo gestionarlos. Considera la probabilidad de impacto (alta, media o baja), la frecuencia y las posibles consecuencias en caso de que ocurra.
La evaluación de riesgos es un requisito previo al establecimiento de objetivos. La idea es trabajar primero en los riesgos relevantes y definir cómo evitarlos o mitigarlos. Además, es importante que se hagan evaluaciones continuas para su actualización.
Actividades de control
Son los procedimientos que permiten asegurar que se adoptan las medidas necesarias para que los objetivos de la entidad no sean afectados por los riesgos. Las actividades de control deben ser ejecutadas por todos los niveles de una organización, sin excepción, para una correcta toma de decisiones y el cumplimiento de los objetivos.
Información y comunicación
Ambos elementos son muy importantes para el logro de los objetivos de la organización. El sistema de información debe estar unificado, protegido y disponible para los encargados de todas las áreas de la empresa, así podrán evaluar mejor los riesgos y disminuir la posibilidad de errores. La comunicación debe ser efectiva y garantizar que la información necesaria fluya sin inconvenientes en todos los niveles de la organización.
Monitoreo
Los sistemas de control interno deben someterse a actividades de monitoreo que permitan detectar las deficiencias y evaluar la calidad de desempeño durante un tiempo específico.
Las medidas correctivas que se tomen a partir de ese análisis contribuirán con la mejora continua de cada uno de los componentes del control interno y la actualización de estrategias para resultados más efectivos.
Beneficios de aplicar el modelo COSO de control interno en tu empresa
El control interno te facilitará el cumplimiento de los objetivos de tu organización sobre la base de 5 aspectos a aplicar de forma segura:
- Ayuda a entender cómo funciona la gestión de riesgos: comprender la gestión de riesgos facilita su promoción en todos los niveles de la organización, define directrices para decisiones y responsabilidades, e integra esta gestión con otros sistemas de la empresa.
- Permite fijar objetivos claros y medibles: los objetivos se definen según el rendimiento y la gestión de riesgos, lo que permite establecer formas de actuación en todos los niveles. Al priorizar los riesgos relevantes y de mayor impacto, se gestionan de manera efectiva.
- Aporta confianza al cumplimiento de objetivos: la aplicación del modelo COSO de control interno brinda una seguridad razonable sobre la forma en que se deben gestionar los riesgos de un negocio o empresa.
- Mejora la comunicación dentro de la empresa: todos los niveles dentro de la organización reconocen que en ese proceso integrado es fundamental que la información fluya entre los involucrados. Además, al basarse en el informe COSO, se manejan bajo los mismos términos.
- Establece mecanismos de monitoreo: el modelo COSO permite fijar actividades de monitoreo formales para la mejora continua del sistema de control interno.
Cómo implementar el modelo COSO de la mano de Delta Protect
En Delta Protect comprendemos la importancia de establecer controles internos eficientes para garantizar el logro de los objetivos de la empresa y establecer acciones correctivas de forma temprana.
Es por esto que con nuestra herramienta Apolo, la cual utiliza una gran variedad de algoritmos, podemos identificar vulnerabilidades dentro de tus sistemas y colaboradores. Estos algoritmos buscan software desactualizado, contraseñas débiles, configuraciones incorrectas y más.
Una vez detectadas las vulnerabilidades, Apolo te orienta paso a paso sobre cómo solucionarlas, cumpliendo con las regulaciones internacionales y locales. Además, te ofrece una variedad de recursos para educar a tus empleados sobre las amenazas de ciberseguridad y cómo protegerse.
Agenda una demo de Apolo para conocer cómo podemos ayudar a tu empresa a implementar el modelo COSO y optimizar la gestión del riesgo empresarial.
Egresado de Ingeniería en Tecnologías Computacionales por el Tecnológico de Monterrey. Hácker Ético Certificado, especializado en Red Teaming, Auditorías de Seguridad en Aplicaciones Web e Infraestructura. Integrador de soluciones en el área de Ciberseguridad para empresas Fintech en México y LATAM.
