EL MODELO DE LAS TRES LÍNEAS DE DEFENSA
Roberto Carlos Torres Cardoso
Administración de Riesgos y Auditoría Interna
UNAGRA
Socio IOS desde 2017
Las tres líneas de defensa es un modelo de control interno ampliamente utilizado en la gestión de los riesgos operacionales de una organización. Este modelo establece tres ámbitos de control, también conocidos como barreras, que corresponden a diferentes niveles jerárquicos dentro de la estructura organizativa. Cada una de estas barreras desempeña un papel específico en la mitigación y gestión de los riesgos.
El Modelo de las tres líneas de defensa ayuda mejorar la comprensión de la gestión de riesgo y control al definir las responsabilidades y funciones. La esencia de este modelo es que bajo la supervisión y guía de la alta dirección y del Consejo de Administración, se necesitan tres grupos separados (o líneas de defensa) dentro de la organización para gestionar eficazmente los controles y riesgos a los que se encuentra expuesta.
Cada una de las tres líneas tiene una función distinta dentro del marco general de gobierno de la organización. Cuando cada una cumple con su rol asignado de forma eficaz, se aumenta la probabilidad que la organización tenga éxito en su tarea de alcanzar sus objetivos generales.
RESPUESTA A RIESGOS
Todos los miembros de una organización tienen algo de responsabilidad en el control interno, pero para ayudar a garantizar que se realizan las tareas esenciales como fueron diseñadas, el modelo aporta claridad sobre las responsabilidades y las funciones específicas. Cuando una organización ha estructurado adecuadamente las tres líneas, y estás funcionan con eficacia, no debería haber vacíos en la cobertura, ni duplicación innecesaria de esfuerzos y, por tanto, se obtiene mayor probabilidad de que el riesgo y el control se gestionen eficazmente.
El Consejo de Administración tendrá más oportunidades para recibir información objetiva en relación con los riesgos más significativos de la organización y además, sobre cómo la dirección está respondiendo a esos riesgos.
Independientemente de cómo cada organización estructura sus tres líneas de defensa, hay algunos principios claves en el Modelo:
UNO
La primera línea de defensa es la dueña de los procesos de la organización, cuyas actividades crean o gestionan los riesgos que pueden contribuir o evitar que se alcancen los objetivos de una organización. Esto incluye enfrentar los riesgos correctos. La primera línea de defensa se adueña del riesgo y define el diseño y la ejecución de los controles de la organización para responder a tales riesgos.
DOS
La segunda línea de defensa está concebida para respaldar a la dirección, aportando conocimientos, excelencia en procesos y supervisión de la gestión en conjunto con la primera línea, ayudando a garantizar la gestión eficaz del riesgo y control. Es la que define normas claras para el control de cada riesgo (Normalmente en forma de una política) y los procedimientos y/o metodologías. La idea es que el día a día lo defina y ejecute la primera línea de defensa, y que la segunda línea evalúe la eficacia de esta y actúe en consecuencia modificando la metodología en los procedimientos cuando corresponda.
Igualmente, la segunda línea de defensa, al actuar de soporte y apoyo para todas las áreas operativas de la organización, puede dar acompañamiento a las áreas cuando estas lo requieran.
TRES
La tercera línea proporciona aseguramiento a la alta dirección y al Consejo de Administración, corroborando que los esfuerzos de la primera y la segunda líneas son consistentes con las expectativas del Consejo de Administración y la alta dirección. La tercera línea de defensa, por lo general, no está concebida para ejecutar funciones de gestión con el fin de proteger su objetividad e independencia de la organización. Como tal, la tercera línea es una función de aseguramiento, no de gestión, lo que la separa de la segunda línea de defensa.
El propósito para cualquier organización es lograr sus objetivos. El camino para lograr estos objetivos implica aprovechar las oportunidades, buscar el crecimiento, enfrentar riesgos y gestionarlos. Si no se toman los riesgos adecuados y no se gestionan y controlan apropiadamente, se puede ver afectado el logro de los objetivos de la organización.
roberto.economia.12@hotmail.com
Twitter: Rob12Risk