"Eso ya lo revisa Compliance." "Eso es cosa de Control Interno." "Pensaba que de eso se encargaba Auditoría." Si alguna vez has escuchado o pronunciado alguna de estas frases en una reunión, no estás solo. Es probablemente la confusión más extendida entre quienes empiezan a trabajar en torno a la gestión de riesgos en una organización, y persiste incluso en profesionales con experiencia cuando las tres funciones conviven sin una frontera clara. Este artículo ordena de una vez por todas quién hace qué, por qué existen tres funciones y no una sola, y qué pasa cuando esas fronteras se difuminan.
El origen de la confusión: tres funciones que hablan de riesgo pero con papeles distintos
Auditoría Interna, Compliance y Control Interno comparten un vocabulario común: riesgo, control, hallazgo, plan de acción. Eso hace que, desde fuera, parezcan tres versiones de lo mismo. Pero la pregunta correcta no es qué palabras usan, sino qué pregunta responde cada una:
- Control Interno responde a: "¿Qué controles hemos diseñado para gestionar este riesgo en el día a día?"
- Compliance responde a: "¿Estamos cumpliendo con la normativa y las políticas internas aplicables a este riesgo?"
- Auditoría Interna responde a: "¿Funcionan realmente esos controles y ese cumplimiento, de forma independiente a quien los diseñó?"
La clave para no confundirlas nunca más está en esa última palabra: independencia. Es el eje que separa a Auditoría Interna de las otras dos funciones, y entenderlo resuelve la mayoría de las dudas que siguen.
El modelo de las Tres Líneas: el marco que ordena todo
El Institute of Internal Auditors (IIA) formalizó hace años un marco que se ha convertido en la referencia estándar para entender esta distribución de papeles: el Modelo de las Tres Líneas. No es una teoría abstracta, es la forma más directa de explicar por qué estas tres funciones existen por separado y no se pueden fusionar sin perder algo importante en el camino.
Primera línea: quienes gestionan el riesgo directamente
Es el personal operativo: quien vende, quien compra, quien atiende al cliente, quien opera la maquinaria. Son responsables de aplicar los controles en su trabajo diario, porque el riesgo nace ahí, en la operación. Un comercial que verifica la identidad de un cliente antes de abrir una cuenta está actuando en primera línea.
Segunda línea: quienes diseñan y supervisan el control
Aquí viven Control Interno y Compliance, junto con funciones como Gestión de Riesgos o Seguridad de la Información. Su trabajo es diseñar las políticas, los procedimientos y los controles que la primera línea debe aplicar, y supervisar de forma continua que se están ejecutando correctamente. No ejecutan la operación, pero sí construyen las reglas del juego y vigilan su cumplimiento de cerca.
Tercera línea: quien aporta aseguramiento independiente
Auditoría Interna es, por definición, la tercera línea. Su función no es diseñar controles ni supervisarlos de forma continua, sino evaluar de manera independiente y objetiva si el sistema completo (primera y segunda línea juntas) funciona como se espera. Esta independencia es estructural: Auditoría Interna no puede auditar con objetividad algo que ella misma ha diseñado o ejecutado.
PARA VISUALIZARLO DE UN VISTAZO
1ª línea (Operación): aplica el control en el día a día.
2ª línea (Control Interno y Compliance): diseña el control y supervisa que se aplique.
3ª línea (Auditoría Interna): evalúa, de forma independiente, si las dos líneas anteriores funcionan realmente bien.
Qué es el Control Interno y quién lo ejecuta
Definición y alcance
El Control Interno es el conjunto de políticas, procedimientos y mecanismos diseñados para dar una seguridad razonable de que la organización alcanzará sus objetivos operativos, de reporting y de cumplimiento. No es un departamento exclusivamente; es, ante todo, un sistema que atraviesa toda la organización. Sin embargo, en muchas organizaciones existe también una función específica de Control Interno, encargada de diseñar la metodología, mantener la matriz de riesgos y controles, y coordinar las autoevaluaciones de control.
Quién es responsable del Control Interno dentro de la organización
Aquí está una de las confusiones más comunes: la responsabilidad última del Control Interno no es de un departamento, sino de la Dirección y de cada responsable de proceso. La función de Control Interno (cuando existe como área específica) actúa como facilitadora y coordinadora de la metodología, pero no es quien ejecuta el control en el día a día; eso corresponde a la primera línea.
Qué es Compliance y en qué se diferencia del Control Interno
Definición y alcance
Compliance es la función responsable de identificar las obligaciones normativas y regulatorias que afectan a la organización, traducirlas en políticas internas, y supervisar que se cumplen. Su ámbito típico incluye prevención de blanqueo de capitales, protección de datos, anticorrupción, competencia o normativa sectorial específica.
Por qué Compliance pertenece a la segunda línea, no a la tercera
Es habitual que alguien recién llegado al mundo del riesgo asuma que Compliance "audita" el cumplimiento normativo, y por tanto debería estar en la misma posición que Auditoría Interna. No es así: Compliance diseña la política, forma a los empleados, monitoriza alertas y reporta incumplimientos de forma activa y continua. Esa cercanía con el día a día operativo, y el hecho de que Compliance participa en el diseño del propio sistema de control normativo, es justo lo que la sitúa en segunda línea. Auditoría Interna, en cambio, evalúa después, de forma independiente, si ese sistema de Compliance funciona realmente como se espera.
Qué es Auditoría Interna y por qué su independencia es la clave
Definición y alcance
Auditoría Interna es una actividad independiente y objetiva de aseguramiento y consulta, diseñada para añadir valor y mejorar las operaciones de la organización. Evalúa la eficacia de los procesos de gobierno, gestión de riesgos y control, incluyendo expresamente los sistemas diseñados por Control Interno y Compliance.
La independencia como elemento diferenciador, no opcional
La independencia de Auditoría Interna no es una preferencia organizativa, es un requisito normativo recogido en las Normas Globales de Auditoría Interna. Esto se traduce en una regla muy concreta: Auditoría Interna no debería diseñar controles, ejecutar tareas de Compliance, ni asumir responsabilidades de gestión que después tendría que evaluar ella misma. Cuando esto ocurre, la función pierde la objetividad que justifica su propia existencia como tercera línea.
Tabla comparativa: las tres funciones lado a lado
| Aspecto | Control Interno | Compliance | Auditoría Interna |
|---|---|---|---|
| Línea de defensa | Segunda línea | Segunda línea | Tercera línea |
| Pregunta que responde | ¿Qué controles hemos diseñado? | ¿Cumplimos con la normativa y las políticas? | ¿Funciona realmente todo el sistema? |
| Relación con el riesgo | Diseña y coordina la matriz de controles | Identifica obligaciones y supervisa su cumplimiento | Evalúa de forma independiente el conjunto |
| Frecuencia de actuación | Continua, integrada en el proceso | Continua, con monitorización activa | Periódica, mediante trabajos planificados |
| Reporta principalmente a | Dirección General o Comité de Riesgos | Dirección General y, según el caso, al Consejo | Consejo de Administración o Comité de Auditoría |
| Puede ser objeto de revisión de | Auditoría Interna | Auditoría Interna | Evaluación Externa de Calidad (organismo externo) |
| Ejemplo de actividad | Diseñar el procedimiento de aprobación de pagos | Formar a empleados sobre la política anticorrupción | Verificar si esa política se aplica de forma efectiva |
Un mismo riesgo, tres roles distintos: ejemplo práctico
La mejor forma de fijar esta distinción es seguir un único riesgo a través de las tres funciones. Tomemos el riesgo de blanqueo de capitales en una entidad financiera.
RIESGO: BLANQUEO DE CAPITALES EN LA APERTURA DE CUENTAS
Primera línea (red comercial): el gestor de la sucursal solicita la documentación de identificación al cliente, completa el formulario de conocimiento del cliente y aplica el procedimiento de verificación definido por la organización.
Segunda línea (Compliance): diseñó ese procedimiento de conocimiento del cliente, define qué documentación es válida según el nivel de riesgo del cliente, forma a los gestores comerciales, y monitoriza de forma continua las alertas generadas por el sistema transaccional para detectar patrones sospechosos.
Tercera línea (Auditoría Interna): no diseña el procedimiento ni revisa alertas día a día. En su lugar, selecciona una muestra de cuentas abiertas en los últimos meses y evalúa si el procedimiento de Compliance se aplicó correctamente en la práctica, si las alertas generadas se gestionaron en plazo, y si el propio sistema de monitorización de Compliance tiene debilidades de diseño que deberían corregirse.
Nótese la diferencia clave: si Auditoría Interna empezara a revisar alertas transaccionales día a día, estaría haciendo el trabajo de Compliance, no evaluándolo. Y si Compliance dejara de revisar alertas para limitarse a evaluar trimestralmente una muestra de casos ya cerrados, estaría abandonando su rol de segunda línea para convertirse, de facto, en una especie de auditoría paralela sin la independencia necesaria para serlo.
Errores frecuentes que generan conflictos entre las tres funciones
- Auditoría Interna ejecuta controles que después debe revisar. Si el equipo de auditoría participa en el diseño de un procedimiento de Compliance, no podrá evaluarlo después con la objetividad que exige su rol.
- Compliance asume funciones de aseguramiento que corresponden a Auditoría Interna. Cuando Compliance empieza a certificar internamente que "todo está en orden" con el mismo lenguaje y autoridad que debería tener un informe de auditoría, se genera una duplicidad confusa sobre quién aporta realmente aseguramiento independiente.
- Control Interno queda diluido sin un responsable claro. En organizaciones sin una función de Control Interno bien definida, cada área diseña sus propios controles de forma descoordinada, lo que dificulta que tanto Compliance como Auditoría Interna trabajen sobre una base común y consistente.
- Compliance reporta a un área que debería estar bajo su propia supervisión. Si la función de Compliance depende jerárquicamente del área de negocio cuyo cumplimiento debe vigilar, se introduce un conflicto de interés que debilita su capacidad de actuar con firmeza cuando detecta un incumplimiento.
Cómo deberían colaborar las tres funciones sin solaparse
La distinción de roles no significa que las tres funciones deban trabajar de espaldas entre sí. Todo lo contrario: cuando colaboran de forma coordinada, sin perder su independencia respectiva, el resultado es lo que suele llamarse aseguramiento combinado.
- Compartir mapas de riesgo, no conclusiones. Compliance y Control Interno pueden compartir con Auditoría Interna su propio mapa de riesgos y matriz de controles, lo que ayuda a priorizar el plan de auditoría sin que Auditoría Interna pierda su criterio independiente sobre qué y cómo evaluar.
- Coordinar calendarios para no duplicar pruebas sobre el mismo control. Si Compliance ya ha revisado en profundidad un control concreto este trimestre, Auditoría Interna puede aprovechar esa evidencia como insumo, sin renunciar a validar de forma independiente su fiabilidad antes de apoyarse en ella.
- Comunicar hallazgos de forma cruzada cuando corresponda. Un hallazgo de Auditoría Interna sobre un control diseñado por Compliance debe comunicarse de forma constructiva, como una oportunidad de mejora del sistema, no como un cuestionamiento personal al trabajo del equipo de Compliance.
Punto de control clave: si en tu organización nadie puede explicar con claridad por qué un control concreto lo revisa Compliance, otro lo revisa Control Interno y un tercero lo revisa Auditoría Interna, probablemente no existe un mapa de aseguramiento combinado, y es momento de construirlo.
Un software de gestión de auditoría y GRC que centralice el mapa de riesgos y controles de toda la organización permite que las tres líneas trabajen sobre una base común, evitando duplicar pruebas sobre el mismo control y dejando trazabilidad clara de qué función ha evaluado qué, y cuándo.
Checklist para diagnosticar si tu organización tiene los roles bien definidos
- ¿Existe un documento o estatuto que defina con claridad el alcance de cada una de las tres funciones?
- ¿Auditoría Interna reporta a un órgano independiente (Comité de Auditoría o Consejo), distinto del que supervisa a Compliance o Control Interno?
- ¿Compliance participa en el diseño de controles sin asumir, además, el rol de evaluarlos de forma independiente?
- ¿Existe un mapa de riesgos y controles compartido que evite que cada función trabaje de forma aislada?
- ¿Los hallazgos de Auditoría Interna sobre controles de Compliance o Control Interno se gestionan con un plan de acción formal, igual que cualquier otro hallazgo?
- ¿Alguna de las tres funciones ejecuta tareas que deberían corresponder a otra, generando solapamiento o vacío de responsabilidad?
Conclusión
Control Interno, Compliance y Auditoría Interna no son tres nombres distintos para la misma función, ni tres capas redundantes de burocracia. Son tres líneas de defensa con propósitos complementarios: una diseña el control, otra vigila el cumplimiento normativo de cerca, y la tercera evalúa, desde una posición independiente, si las dos primeras realmente funcionan. Entender esta distinción no es un ejercicio teórico: es lo que permite que cada función actúe con la autoridad y la objetividad que su rol específico exige, y lo que evita que un riesgo importante quede sin cubrir simplemente porque todos asumían que "eso lo veía otro".