¿Qué es COSO?

Hola mis queridos lector@s de El Rincón del Sueko. El Comité de Organizaciones Patrocinadoras de la Treadway Commission (COSO) es una iniciativa conjunta de las cinco organizaciones del sector privado (enumeradas en la columna izquierda de su web) y está dedicada a proporcionar un liderazgo reflexivo a través del desarrollo de marcos y orientación sobre la gestión del riesgo empresarial, el control interno y la disuasión del fraude.

Descripción COSO III.

COSO (Committee of Sponsoring Organizations of the Treadway Commission) se define como un proceso efectuado por la dirección y el resto del personal de una entidad, diseñado con el objeto de proporcionar un grado de seguridad razonable en cuanto a la consecución de los objetivos dentro de las siguientes categorías:

• Eficacia y eficiencia de las operaciones.
• Confiabilidad de la información financiera.
• Cumplimiento de las leyes, reglamentos y normas (que sean aplicables).

A continuación se presentan los 5 componentes del informe COSO III (actualizado en 2013) que servirán de base para el desarrollo de la implementación de la gestión eficiente de los riesgos a través de la norma ISO 31000:2009.

I) Entorno de control.

1. Debe demostrar su compromiso con la integridad y los valores éticos.
2. El consejo de administración debe demostrar independencia en la gestión y ejercer la supervisión del desarrollo y ejecución del control interno.
3. La alta dirección debe establecer, con la supervisión del consejo de administración, la estructura, líneas de reporte, autoridad y responsabilidad en la consecución de objetivos.
4. Debe demostrar su compromiso para atraer, desarrollar y retener personas competentes.
5. En la consecución de los objetivos, debe disponer de personas responsables para atender sus responsabilidades de control interno.

II) Evaluación de riesgos.

6. Debe especificar los objetivos para permitir la identificación y evaluación de los riesgos relacionados.
7. Debe identificar y evaluar sus riesgos.
8. Debe gestionar el riesgo de fraude.
9. Debe identificar y evaluar los cambios que podrían impactar en el sistema de control interno.

III) Actividades de control.

10. Debe seleccionar y desarrollar actividades de control que contribuyan a la mitigación de los riesgos para el logro de sus objetivos.
11. Debe seleccionar y desarrollar controles generales sobre tecnología de la información.
12. Debe implementar sus actividades de control a través de políticas y procedimientos adecuados.

IV) Información y comunicación.

13. Debe generar la información relevante para respaldar el funcionamiento de los otros componentes de control interno.
14. Debe compartir internamente la información, incluyendo los objetivos y responsabilidades para el control interno, necesarios para respaldar el funcionamiento de los otros componentes de control interno.
15. Debe comunicar externamente las materias que afecten al funcionamiento de los otros componentes de control interno.

V) Actividades de monitorización.

16. Debe comunicar externamente las materias que afecten al funcionamiento de los otros componentes de Control Interno.
17. Debe evaluar y comunicar las deficiencias de control interno.

Los principios introducen ciertos cambios en los componentes del control interno, destacando la evaluación de los riesgos que, a partir que ahora, ha de incluir los conceptos de velocidad y persistencia de los riesgos como criterios para evaluar la criticidad de los mismos.

• Velocidad de riesgo se refiere a la rapidez con la que impacta un riesgo en la organización una vez este se ha materializado.
• Persistencia de un riesgo se refiere a la duración del impacto después de que le riesgo se haya materializado.

Adicionalmente, el marco de COSO 2013, ha modificado la información acerca de las tareas y responsabilidades de los distintos participantes en el proceso, tales como:

• Responsabilidades del CEO (gerente general) y CFO (gerente de finanzas) para que formalmente asuman la efectividad del control interno en ciertas jurisdicciones.
• Actividad a desarrollar por los distintos tipos de comités y su campo de actuación.
• Necesidad de incorporar, además de los auditores externos, a otros proveedores de servicios externalizados (evaluadores) para completar los diferentes tipos de revisión que puede realizar una entidad sobre su control interno (riesgos medioambientales, prácticas de comercio justo o seguridad laboral, etcétera).
• Exigencias reguladoras y legislativas para certificar la eficacia del control interno de la compañía sobre el reporte financiero.
• Responsabilidad en la gestión de los riesgos de los procesos externalizados, debiendo implementar un programa para evaluar dichas actividades realizadas por terceros en su nombre, y evaluar la eficacia del sistema de control interno sobre las actividades realizadas por dichos proveedores externos de servicios.

Una vez identificados los acontecimientos importantes dentro de una organización, hay que tener en cuenta la evaluación de riesgos. En este paso tenemos cuatro puntos a tomar en cuenta:

1. Riesgo inherente y residual
2. Probabilidad e impacto
3. Fuente de datos y técnicas de evaluación
4. Correlación entre acontecimientos

Actualización del marco ERM 2017.

Enterprise Risk Management-Integración con estrategia y rendimiento (2017)La actualización de 2017 de Enter risk Risk Management - Integrated Framework aborda la evolución de la gestión del riesgo empresarial y la necesidad de que las organizaciones mejoren su enfoque de gestión del riesgo para satisfacer las demandas de un entorno empresarial en evolución. El documento actualizado, Enterprise Risk Management - Integración con Estrategia y Desempeño , destaca la importancia de considerar el riesgo tanto en el proceso de establecimiento de la estrategia como en el desempeño de la conducción.

Para acabar, dejo como es costumbre, un interesantísimo vídeo "Modelo COSO 2013" donde nos hace un muy buen resúmen de lo aquí explicado.

Para finalizar dejo el link del blog de Nahun Frett "Excelencia en Auditoría Interna" donde encontramos una comparativa muy interesante: "ISO vs. COSO ERM vs. Enfoque Híbrido".

Para la elaboración de este post me documenté principalmente del libro Introducción a la gestión integral de riesgos empresariales de Isabel casares y Edmundo Lizarzaburu. Ed. Platinum.


Espero que este post haya sido de vuestro interés. Me encantaría, más que nunca, ver vuestras valoraciones y leer vuestros comentarios a través de las herramientas que este blog pone a vuestra disposición.

Muchísimas gracias a tod@s. ¡Salu2! 👍

#rincondelsueko en Twitter, Facebook, Flipboard y Google+