Control interno post COVID-19: prevenir antes que curar

A raíz de la COVID-19 muchas empresas han puesto el foco en las amenazas externas para luchar por mantener su viabilidad, relajando la atención en el control interno y paradójicamente incrementando el riesgo en áreas críticas como el fraude, el cumplimiento normativo y los sistemas de reporte internos.

Los cambios del entorno externo se están sucediendo a una velocidad sin precedentes que exige una toma de decisiones ágil conllevando algunas veces a descuidar controles internos relacionados con la segregación de funciones, sistemas de acceso, niveles de autorización, protección física de activos o la supervisión de la gestión de excepciones o valores atípicos. La relajación de estos controles supone un mayor riesgo en las tres áreas críticas mencionadas.

Por una parte, con el enfoque en la supervivencia del día a día hay una mayor probabilidad de desviación de las verificaciones y controles de los procesos clave, una supervisión menos rigurosa de las violaciones del marco de control o reducción del control sobre los activos como el inventario, el equipo, el software y los datos. Esto debilita las defensas de una organización contra el fraude y el robo. Las presiones financieras sobre las organizaciones y los individuos pueden llevar a una conducta indebida de los empleados para obtener beneficios personales, manipulación de los resultados financieros para cumplir con los convenios u obtener apoyo gubernamental, falsificar las aprobaciones necesarias, no ejecutar las transacciones aprobadas para obtener beneficios personales o profesionales, procesar reclamaciones fraudulentas para obtener beneficios personales o para beneficiar a una parte conocida.

Por otra parte, en el clima actual, algunos reguladores están relajando los requisitos y plazos de presentación de informes, pero no las obligaciones que imponen a las organizaciones. Ahora no es el momento de aflojar el control del cumplimiento. Las responsabilidades fundamentales de las empresas no cambiarán. Se seguirá esperando que obedezcan las reglas, se comporten de manera ética e implementen sistemas de control y mecanismos de cumplimiento sólidos.

Y, por supuesto, habrá que seguir observando la normativa específica sectorial. Será vital comprender las consecuencias de los cambios en las regulaciones que afectan a su empresa y poner en marcha medidas para cumplirlas. No asuma que todo se ha alterado; asegúrese de saber lo que se ha alterado y lo que no. Como siempre con el cumplimiento, el diablo estará en los detalles. Al mismo tiempo, será imperativo recordar cómo y cuándo informar de los asuntos regulatorios, los retos y las faltas de cumplimiento interno. Y hacer esto fácil para los empleados tiene que ser una prioridad.

El control interno, clave ante los grupos de interés

Finalmente, cuando se trata de un cambio de gran alcance, es fácil asumir que lo básico se puede detener. Sin embargo, la supervisión, la medición y la presentación de informes sobre la “salud” financiera y operativa de la organización serán cruciales no sólo durante la crisis, sino también cuando salgamos de ella. Se seguirá esperando que la dirección gestione e informe sobre el resultado subyacente de la empresa.

Los inversores, prestamistas, reguladores y clientes no le perdonarán los fallos en sus controles clave. Por tanto, será más importante que nunca mantener registros precisos, completos y válidos de áreas como ingresos, liquidez y flujo de caja, facturas emitidas, producto enviado y efectivo cobrado, inventario recibido, lo que puede y no puede ser vendido en el clima actual y las implicaciones de la obsolescencia. Sin esto no se puede evaluar los efectos en su resultado operacional y financiero ahora o en el futuro. Y si no lo sabes, no podrás informar sobre ello más adelante.

En tiempos de crisis, la dirección debe priorizar las actividades clave de control. Debe encomendar a las funciones pertinentes la tarea de asegurar que los ajustes de control interno, los recursos y los sistemas de gestión sean adecuados para las exigencias actuales. El entorno de control óptimo será, por supuesto, diferente en cada sector y para cada organización, pero podrían citarse algunos elementos comunes que pueden mitigar los riesgos de manera preventiva tales como una adecuada segregación de funciones, una clara delegación de responsabilidades y líneas de reporte,  una formalización adecuada de los niveles de autorización, unos sistemas que aseguren la confidencialidad, la integridad y la disponibilidad de los datos ante amenazas internas y externas y una mejora del uso de datos y técnicas analíticas.

 Las fases de control interno ante la crisis

El cambio de los perfiles de riesgo impactará a las funciones de aseguramiento, que deberán realizar ajustes tácticos en primera instancia, seguido de un enfoque estratégico a medida que la vida vuelve a la normalidad. A corto plazo destacamos la necesidad de evaluar si las actividades relacionadas con el fraude, cumplimiento normativo, control de efectivo, gestión de contratos, resiliencia de negocio y seguridad siguen funcionando como deberían, o si se han interrumpido significativamente, identificando las vulnerabilidades en tiempo real y contribuyendo a desarrollar soluciones viables. Las acciones estratégicas versarán en analizar el impacto del cambio en control interno para comprobar si se descuidaron algunas prioridades importantes en la carrera por mantener la viabilidad, integrar en el entorno de control las lecciones aprendidas de la crisis que contribuyan a que la empresa sea más resiliente a futuro y evaluar si los controles internos se adaptan al nuevo entorno de riesgo, hacer los ajustes adecuados y supervisar la situación a medida que evoluciona.

En definitiva, como decía James Dean, “no podemos cambiar la dirección del viento, pero sí ajustar las velas para llegar siempre a nuestro destino”. Por tanto, aconsejamos revisar estos aspectos clave para seguir navegando en el mar de la incertidumbre con un timón un poco más “controlado”.