El Modelo de las Tres Líneas de Defensa

El Modelo ayuda mejorar la comprensión de la gestión de riesgo y control al definir las funciones y responsabilidades.

El principal concepto del modelo es que bajo la supervisión y guía de la alta dirección y del consejo de administración, se necesitan tres grupos separados (o líneas de defensa) dentro de la organización para gestionar eficazmente el riesgo y el control. Las responsabilidades de cada uno de los grupos (o “líneas”) son:

1.Adueñarse y gestionar el riesgo y el control (gerencia operativa de primera línea).

2. Supervisar el riesgo y el control en apoyo de la gestión (la dirección implementa las funciones de riesgo, control y cumplimiento).

3. Proporcionar aseguramiento independiente al consejo de administración y a la alta dirección en relación con la eficacia de la gestión del riesgo y del control (auditoría interna). 

Cada una de las tres líneas tiene una función distinta dentro del Marco general de gobierno de la organización. Cuando cada una cumple con su rol asignado de forma eficaz, se aumenta la probabilidad que la organización tenga éxito en su tarea de alcanzar sus objetivos generales. 

Todos los miembros de una organización tienen algo de responsabilidad en el control interno, pero para ayudar a garantizar que se realizan las tareas esenciales como fueron diseñadas, el Modelo aporta claridad sobre las funciones y las responsabilidades específicas. Cuando una organización ha estructurado adecuadamente las tres líneas, y estás funcionan con eficacia, no debería haber vacíos en la cobertura, ni duplicación innecesaria de esfuerzos y por tanto se obtiene mayor probabilidad de que el riesgo y el control se gestionen eficazmente. El consejo de administración tendrá más oportunidades para recibir información objetiva en relación con los riesgos más significativos de la organización; y además sobre cómo la dirección está respondiendo a esos riesgos.

El Modelo proporciona una estructura flexible que se puede implementar como respaldo de el Marco. Las funciones dentro de cada una de las líneas de defensa variarán entre una organización y la otra, y algunas funciones podrían estar unidas o divididas entre las líneas de defensa. Por ejemplo, en algunas organizaciones, partes de una función de cumplimiento, en la segunda línea, podrían participar en el diseño de los controles para la primera línea, mientras que otras partes de la segunda línea podrían centrarse principalmente en la supervisión de estos controles. 

Independientemente de cómo cada organización estructura sus tres líneas de defensa, hay algunos principios claves en el Modelo:

1. La primera línea de defensa es la dueña de los procesos de la empresa, cuyas actividades crean o gestionan los riesgos que pueden contribuir o evitar que se alcancen los objetivos de una organización. Esto incluye enfrentar los riesgos correctos. La primera línea de defensa se adueña del riesgo y define el diseño y la ejecución de los controles de la organización para responder a tales riesgos.

2. La segunda línea está concebida para respaldar a la dirección aportando conocimientos, excelencia en

procesos y supervisión de la gestión en conjunto con la primera línea ayudando a garantizar la gestión eficaz del riesgo y control. Las funciones de la segunda línea de defensa están separadas de la primera línea de defensa, pero igualmente están bajo el control y las guías de la alta dirección y, en general, realizan algunas funciones de gestión. La segunda línea es esencialmente una función de supervisión o vigilancia que es responsable por muchos aspectos de la gestión del riesgo.

3. La tercera línea proporciona aseguramiento a la alta dirección y al consejo de administración corroborando que los esfuerzos de la primera y la segunda líneas son consistentes con las expectativas del consejo de administración y la alta dirección. La tercera línea de defensa por lo general no está concebida para realizar funciones de gestión con el fin de proteger su objetividad e independencia de la organización. Además, la tercera línea de defensa responde principalmente al consejo de administración. Como tal, la tercera línea es una función de aseguramiento, no de gestión, lo que la separa de la segunda línea de defensa. 

El propósito para cualquier organización es lograr sus objetivos. El camino para lograr estos objetivos implica aprovechar las oportunidades, buscar el crecimiento, enfrentar riesgos y gestionarlos: todo con el fin de hacer avanzar la organización. Si no se toman los riesgos adecuados y no se gestionan y controlan apropiadamente los riesgos tomados, se puede afectar el logro de los objetivos de la organización. Hay, y siempre habrá, contraposición entre las actividades de crear valor empresarial y las actividades para proteger este valor.

El Marco proporciona una estructura para considerar el riesgo y el control con el objetivo de asegurarse que se gestionan de forma adecuada y correcta. El Modelo proporciona una guía en relación a la estructura de la organización que se implementará, asignando funciones y responsabilidades a las partes que incrementará el éxito de la gestión eficaz del riesgo y control.

Roles de la Alta Dirección y del Consejo de Administración en el Modelo de las tres líneas de defensa

La alta dirección y el consejo de administración tienen responsabilidades importantes en el Modelo. La alta dirección se encarga de la selección, el desarrollo y la evaluación del sistema de control interno acompañada con la supervisión del consejo de administración. Aunque ni la alta dirección ni el consejo de administración son considerados parte de ninguna de las tres líneas, ambas tienen la responsabilidad de establecer los objetivos de la organización, definir las estrategias de alto nivel para alcanzar esos objetivos y establecer estructuras de gobierno para gestionar mejor el riesgo.

Ellos están en mejor posición para asegurarse que la estructura de la organización es la más adecuada para las funciones y las responsabilidades con relación al riesgo y el control. La alta dirección debe respaldar completamente un gobierno, una gestión de riesgos y un control fuerte. Además, tiene la responsabilidad final por las actividades de la primera y segunda líneas de defensa.

Su trabajo es crucial para el éxito del modelo global. El Marco ayuda a aclarar estas responsabilidades del consejo de administración y de la alta dirección. Como se indica , a continuación, la alta dirección y el consejo de administración son los responsables principales de un entorno de control de la organización que esté respaldado por los cinco principios que marcan el tono desde la alta dirección con respecto a la importancia del control interno y los estándares de conducta esperados dentro de la entidad.

El Modelo proporciona una estructura bajo el Marco que detalla el cómo se asignan las funciones y responsabilidades. Su implementación se da con el apoyo activo y la guía del consejo de administración y la alta gerencia. del consejo de administración y la alta gerencia. 

Fuente: Aprovechar el COSO en las Tres Líneas de Defensa - The Institute of Internal Auditors