En el mundo empresarial actual, la gestión de riesgos es crucial para el éxito. Dos marcos de referencia dominan este ámbito: COSO y COSO ERM. Aunque estrechamente relacionados, presentan diferencias significativas que impactan directamente en la forma en que las organizaciones abordan la gestión de riesgos. Este artículo explorará estas diferencias, ayudándote a comprender cuál marco se ajusta mejor a tus necesidades.
Ambos marcos, desarrollados por el Comité de Organizaciones Patrocinadoras de la Comisión Treadway (COSO), ofrecen un conjunto de principios y directrices para la gestión eficaz de riesgos. Sin embargo, mientras COSO 2013 (a veces llamado COSO III) se centra en el control interno, COSO ERM 2017 adopta un enfoque más amplio y estratégico para la gestión de riesgos empresariales (ERM).
COSO 2013 proporciona un marco para establecer y mantener un sistema efectivo de control interno. Se centra en la eficiencia y eficacia de las operaciones, la fiabilidad de la información financiera y el cumplimiento de las leyes y regulaciones. Imagina un restaurante: COSO 2013 se aseguraría de que los ingredientes se manejen correctamente, que la comida se prepare según las recetas, y que las cuentas sean precisas.
Este marco se basa en cinco componentes interrelacionados:
Entorno de control: La cultura ética y la estructura organizacional que establece la base para el control interno.
Evaluación de riesgos: La identificación y análisis de los riesgos que podrían afectar el logro de los objetivos.
Actividades de control: Las políticas y procedimientos para mitigar los riesgos identificados.
Información y comunicación: El flujo de información oportuna y precisa entre las diferentes áreas de la organización.
Actividades de monitoreo: La evaluación continua del sistema de control interno para asegurar su efectividad.
Si bien COSO 2013 es esencial para un control interno sólido, su enfoque está principalmente en la mitigación de riesgos que afectan las operaciones, la información financiera y el cumplimiento. No considera explícitamente la estrategia empresarial ni la toma de decisiones estratégicas basadas en el riesgo. El restaurante podría tener un control interno perfecto, pero si la ubicación es mala, el negocio puede fracasar a pesar de la eficiencia interna.
Esta limitación llevó al desarrollo de COSO ERM.
COSO ERM 2017: Una Perspectiva Estratégica de la Gestión de Riesgos
COSO ERM 2017 amplía significativamente el alcance de COSO 2013. En lugar de centrarse únicamente en el control interno, este marco integra la gestión de riesgos en la estrategia y el desempeño de la organización. En nuestro ejemplo del restaurante, COSO ERM consideraría factores como la competencia, las tendencias del mercado y las preferencias de los clientes, además de los aspectos operativos.
COSO ERM se basa en ocho componentes interrelacionados, que incluyen los cinco de COSO 2013, pero con un enfoque más estratégico y holístico. Los tres componentes adicionales incorporan la estrategia y la cultura organizacional:
Gobierno y cultura: Establece el tono en la cima, promoviendo una cultura de responsabilidad y gestión de riesgos.
Estrategia y establecimiento de objetivos: Integra la gestión de riesgos en la formulación de la estrategia y los objetivos.
Desempeño: Asegura que la gestión de riesgos se implemente en todas las operaciones.
Información, comunicación y reporte: Facilita el flujo de información para una toma de decisiones informada.
Revisión y monitorización: Evalúa continuamente la efectividad de la estrategia de gestión de riesgos.
El enfoque estratégico de COSO ERM 2017 ofrece varias ventajas: permite a las organizaciones aprovechar las oportunidades, mejorar la toma de decisiones estratégicas, alinear la gestión de riesgos con la estrategia global, y crear una cultura de gestión de riesgos proactiva.
Seis aspectos clave que diferencian COSO ERM 2017 de COSO 2013 son:
Cultura de riesgo: Se integra explícitamente la cultura organizacional en la gestión de riesgos.
Definición de la estrategia: La gestión de riesgos es parte integral de la estrategia empresarial.
Perfil de riesgos: Se crea un perfil de riesgos para comprender mejor el panorama general.
Integración de la gestión de riesgos: La gestión de riesgos se integra en todas las actividades y procesos.
Visión de cartera: Se adopta una visión holística de la gestión de riesgos.
Aprovechamiento de la tecnología de la información: Se utiliza la tecnología para mejorar la gestión de riesgos.
COSO vs. COSO ERM: ¿Cuál Elegir?
La decisión de implementar COSO 2013 o COSO ERM 2017, o incluso una combinación híbrida, depende de las necesidades específicas de cada organización. Las empresas con sistemas de control interno maduros y un enfoque estratégico claro en la gestión de riesgos podrían beneficiarse de COSO ERM. Aquellas que necesitan un enfoque más específico en el control interno podrían optar por COSO 2013.
Una estrategia híbrida, sin embargo, podría ser la opción más efectiva para muchas empresas. Esto implica utilizar COSO 2013 para fortalecer el control interno y COSO ERM para integrar la gestión de riesgos en la estrategia. Esta combinación proporciona una perspectiva completa y robusta para gestionar riesgos y optimizar el desempeño.
Considera tu nivel de madurez en la gestión de riesgos, tus objetivos estratégicos y los recursos disponibles al tomar una decisión informada. La clave está en seleccionar el marco que mejor se adapte a tu contexto particular y te permita alcanzar tus objetivos empresariales.
Preguntas Frecuentes: COSO 2013 vs. COSO ERM 2017
¿Cuál es la principal diferencia entre COSO 2013 y COSO ERM 2017?
COSO 2013 se centra en el control interno, mientras que COSO ERM 2017 adopta un enfoque más amplio de gestión de riesgos empresariales, integrando la gestión de riesgos con la estrategia y los objetivos de la organización.
¿Qué componentes incluye COSO 2013?
Entorno de control, evaluación de riesgos, actividades de control, información y comunicación, y actividades de monitoreo.
¿Qué componentes incluye COSO ERM 2017?
Gobierno y cultura, estrategia y establecimiento de objetivos, desempeño, información, comunicación y reporte, revisión y monitorización.
¿COSO 2013 y COSO ERM 2017 son compatibles?
Sí, son complementarios; una implementación híbrida puede ser óptima.
¿Qué aspectos clave diferencia COSO ERM 2017 de COSO 2013?
Cultura de riesgo, definición de la estrategia, perfil de riesgos, integración de la gestión de riesgos, visión de cartera y aprovechamiento de la tecnología de la información.
¿Cuál marco es más adecuado para mi organización?
Depende de las necesidades específicas, el nivel de madurez en la gestión de riesgos y los objetivos estratégicos.
