Autor: Valentina Ruiz Acevedo – Senior de Auditoria Financiera
¿Qué son ISO 31000 y COSO ERM?
ISO 31000
Es una norma internacional desarrollada por la ISO que establece principios y lineamientos generales para la gestión de riesgos aplicables a cualquier organización. Aunque no es certificable, proporciona una base sólida para construir un sistema de gestión del riesgo adaptado a cada contexto.
- Enfoque: basado en principios, marco y procesos
- Aplicación: transversal a todos los sectores
- Última versión: ISO 31000:2018
COSO ERM
El marco COSO ERM fue creado por el Committee of Sponsoring Organizations con el objetivo de vincular la gestión de riesgos con la estrategia empresarial. A diferencia de ISO 31000, este modelo profundiza en cómo los riesgos impactan directamente en la toma de decisiones, la creación de valor y, especialmente, en el control interno, que es su eje central.
- Enfoque: estructurado en componentes y principios clave
- Aplicación: ideal para organizaciones con estructuras de control financiero
- Última versión: COSO ERM 2017 – Integrating with Strategy and Performance
Coincidencias y diferencias clave entre ambos marcos
| Elemento | ISO 31000 | COSO ERM |
| Enfoque general | Basado en principios | Basado en componentes estructurados |
| Aplicabilidad | Universal, todos los sectores | Corporativo, con foco financiero |
| Vinculación con estrategia | Recomendado | Integrado explícitamente |
| Nivel de detalle | Directriz general | Marco detallado con prácticas asociadas |
| Relación con auditoría y control interno | Indirecta, fortalece contexto | Directa, diseñado para fortalecer el control interno y la auditoría |
Mientras ISO 31000 aporta una visión flexible y adaptable a distintos sectores, COSO ERM conecta directamente con los procesos de auditoría interna y evaluación del control interno, ofreciendo una estructura ideal para integrar la gestión de riesgos con los sistemas contables y de cumplimiento.
Integración en auditoría: ruta práctica para armonizarlos
Para que estos marcos no se queden en el papel, su implementación debe ser realista y útil. A continuación, una guía práctica para armonizarlos dentro de los procesos de auditoría:
- Mapear los procesos de riesgo actuales frente a ambos marcos
Revisar qué elementos de gestión del riesgo ya existen en la organización y cómo se alinean con ISO 31000 y COSO ERM. Esto permite identificar brechas y oportunidades de mejora.
- Unificar el lenguaje y la clasificación de riesgos
Crear una taxonomía clara y compartida de riesgos facilita la comunicación entre áreas, mejora la trazabilidad y permite aplicar controles efectivos.
- Incorporar el análisis de contexto de ISO 31000 en la auditoría
Este enfoque permite entender mejor el entorno en el que opera la entidad y ajustar los procedimientos de auditoría a los riesgos realmente relevantes.
- Usar COSO ERM para fortalecer el sistema de control interno
COSO proporciona herramientas para evaluar si los controles existentes son adecuados y están alineados con los riesgos identificados. Esto es clave para auditores internos y revisores fiscales.
- Formar equipos multidisciplinarios
Capacitar auditores, gestores de riesgos y responsables del control interno en ambos marcos asegura una implementación coherente y eficaz.
Beneficios de una integración efectiva
- Auditorías más enfocadas en los riesgos críticos del negocio
- Controles internos más alineados con la realidad operativa
- Mayor capacidad de respuesta frente a riesgos emergentes
- Mejor comunicación con juntas directivas y entes reguladores
- Cumplimiento más robusto con normas como las NIAS, ISO y requisitos locales
Conclusión: auditar con visión de futuro.
La verdadera fortaleza de una organización no radica solo en sus resultados financieros, sino en su capacidad para anticiparse y adaptarse a los riesgos. Integrar los marcos ISO 31000 y COSO ERM permite construir una auditoría más estratégica, capaz de conectar el control interno con la toma de decisiones y la creación de valor.
Esta integración no es solo una herramienta técnica; es una mentalidad. Una forma de entender que auditar no es simplemente revisar, sino contribuir activamente al futuro sostenible de las organizaciones.
El control interno debe verse como un sistema vivo, alimentado por una gestión del riesgo inteligente. Y los auditores, más que verificadores, se convierten en aliados estratégicos para una mejor toma de decisiones.
Fuente:
