El informe del revisor fiscal sobre el control interno comunica hallazgos y conclusiones que la administración debe analizar, priorizar y gestionar. Su utilidad aumenta cuando cada asunto se traduce en una respuesta documentada, un responsable, una fecha y evidencia de que la acción realmente funcionó. Esta guía explica cómo interpretar esas comunicaciones sin convertirlas en una evaluación general del sistema de control interno.
El alcance del revisor fiscal frente al control interno
El revisor fiscal puede obtener información sobre controles, procedimientos y riesgos durante el desarrollo de su trabajo y comunicar asuntos que considere relevantes para la administración y los órganos de gobierno.
El Código de Comercio establece que el informe presentado a la asamblea o junta de socios debe expresar, entre otros aspectos, si existen y son adecuadas las medidas de control interno y las relacionadas con la conservación y custodia de los bienes de la sociedad o de terceros que estén en poder de la compañía.
Esto no significa que el revisor fiscal sea responsable de diseñar, implementar o ejecutar los controles de la empresa.
La administración conserva la responsabilidad sobre:
- Diseño de procesos y controles.
- Asignación de responsabilidades.
- Autorizaciones.
- Segregación de funciones.
- Ejecución de acciones correctivas.
- Seguimiento de riesgos.
- Conservación de evidencia.
El informe del revisor fiscal sobre el control interno debe utilizarse, por tanto, como una fuente independiente de información para identificar asuntos que necesitan atención, no como sustituto de la gestión administrativa.
La profundidad de las observaciones dependerá de los riesgos, procedimientos ejecutados, evidencia obtenida y circunstancias particulares de cada organización.
Qué puede reportar el revisor fiscal sobre el control interno
Las comunicaciones pueden incluir situaciones detectadas durante el trabajo que evidencien que un control no existe, está mal diseñado, no opera de forma consistente o no deja evidencia suficiente de su ejecución.
Entre los asuntos que pueden aparecer están:
- Autorizaciones incompletas.
- Falta de segregación de funciones.
- Conciliaciones pendientes o sin revisión.
- Soportes insuficientes.
- Accesos inadecuados a sistemas.
- Diferencias recurrentes.
- Controles que dependen excesivamente de una persona.
- Debilidades en custodia de activos.
- Incumplimientos de procedimientos internos.
- Hallazgos que se repiten entre periodos.
No todos estos asuntos tienen la misma importancia.
Un hallazgo relacionado con un soporte puntual puede requerir una respuesta distinta a una debilidad que permita efectuar pagos sin aprobación, modificar información sensible o alterar registros sin trazabilidad.
El hallazgo debe conectarse con su riesgo
El informe del revisor fiscal sobre el control interno resulta más útil cuando la administración comprende qué consecuencia podría producir cada observación.
Por ejemplo, una falta de aprobación puede estar relacionada con:
- Pagos improcedentes.
- Pérdida de recursos.
- Errores en información financiera.
- Incumplimiento de políticas.
- Dificultades para determinar responsabilidades.
La pregunta no debería ser únicamente “¿cómo cerramos este hallazgo?”, sino “¿qué riesgo permanece mientras esta situación siga ocurriendo?”.
Cuando la organización necesita comprender mejor el alcance de la función que origina estas comunicaciones, puede consultar el servicio de revisoría fiscal de Amézquita.
Cómo interpretar un hallazgo sin responder de forma superficial
Uno de los errores más frecuentes es reaccionar rápidamente con una acción que mejora la documentación, pero no necesariamente resuelve el problema.
Por ejemplo, ante una debilidad de aprobación, emitir una nueva política puede ser insuficiente si:
- Los usuarios del sistema mantienen permisos incompatibles.
- Nadie verifica las excepciones.
- La aprobación puede omitirse operativamente.
- No queda evidencia de quién autorizó.
- La supervisión sigue dependiendo de una sola persona.
La administración debería determinar primero qué originó la situación.
Preguntas que ayudan a interpretar el hallazgo
Antes de definir una respuesta, conviene establecer:
- ¿Qué ocurrió exactamente?
- ¿Qué riesgo genera?
- ¿Cuál fue la causa?
- ¿Qué control debía evitarlo?
- ¿Ese control existe?
- ¿Está correctamente diseñado?
- ¿Se ejecutó?
- ¿La situación es recurrente?
- ¿Puede presentarse en otros procesos?
- ¿Qué evidencia demostraría una corrección efectiva?
Estas preguntas no convierten el proceso en una evaluación de control interno independiente. Su propósito es ayudar a la administración a responder correctamente a un asunto ya identificado y comunicado.
Recibe asesoría experta para tu empresa ahora
Obtén asesoría de nuestros profesionales con experiencia en áreas clave para tu empresa y toma decisiones con mayor confianza, respaldo técnico y una visión estratégica de crecimiento claro.
Del informe a un plan de mejora basado en prioridades
No todos los asuntos incluidos en un informe del revisor fiscal sobre el control interno necesitan resolverse con la misma velocidad ni con los mismos recursos.
La administración puede priorizar teniendo en cuenta factores como:
- Impacto potencial.
- Probabilidad de ocurrencia.
- Recurrencia.
- Procesos afectados.
- Existencia de incidentes previos.
- Obligaciones regulatorias relacionadas.
- Exposición financiera.
- Capacidad actual para detectar el problema.
Un hallazgo recurrente o relacionado con recursos relevantes puede requerir atención más inmediata que una mejora documental de bajo impacto.
| Elemento de análisis | Pregunta para la administración | Resultado esperado |
|---|---|---|
| Riesgo | ¿Qué podría ocurrir si el asunto continúa? | Impacto y prioridad definidos |
| Causa | ¿Por qué el control no previno o detectó la situación? | Origen del problema identificado |
| Acción | ¿Qué debe cambiar realmente? | Responsable, actividad y fecha |
| Cierre | ¿Qué demostrará que el riesgo disminuyó? | Evidencia y validación de efectividad |
Qué asuntos deberían escalarse
La relevancia dependerá de cada organización, pero normalmente requieren mayor atención los asuntos que puedan afectar:
- Información financiera relevante.
- Recursos de la compañía.
- Cumplimiento legal o regulatorio.
- Continuidad de procesos críticos.
- Acceso a información sensible.
- Riesgo de fraude.
- Operaciones de alto valor.
- Obligaciones con terceros.
Estos asuntos deberían contar con responsables claros y, cuando corresponda, seguimiento de gerencia, comité de auditoría o junta directiva.
Cómo estructurar una respuesta que pueda verificarse
Un plan de acción no debería limitarse a frases como “mejorar el proceso”, “fortalecer el control” o “realizar seguimiento”.
Cada observación debería convertirse en una acción concreta.
Una estructura práctica puede incluir:
- Hallazgo.
- Riesgo asociado.
- Causa identificada.
- Acción correctiva.
- Responsable.
- Fecha objetivo.
- Medida temporal, si aplica.
- Evidencia de implementación.
- Fecha de validación.
- Estado.
Ejemplo de una respuesta adecuada
Supongamos que el informe identifica que una misma persona puede crear proveedores y modificar sus datos bancarios.
Una respuesta superficial sería:
“Se reforzará el procedimiento de proveedores”.
Una respuesta más verificable podría incluir:
- Separar permisos de creación y modificación.
- Exigir aprobación independiente para cambios bancarios.
- Generar un reporte periódico de modificaciones.
- Revisar excepciones durante los primeros tres meses.
- Conservar evidencia de cada aprobación.
El cierre del hallazgo debería producirse cuando la empresa pueda demostrar que estas medidas funcionan, no únicamente cuando se configure el sistema.
Cuándo el hallazgo requiere una evaluación más profunda
El informe del revisor fiscal sobre el control interno se genera dentro del alcance propio de la revisoría fiscal y no necesariamente implica una revisión integral de todos los procesos y controles de la organización.
Algunas observaciones pueden mostrar que el problema es más amplio de lo inicialmente identificado.
Esto puede ocurrir cuando:
- El hallazgo aparece en varias áreas.
- Se repite durante diferentes periodos.
- Existen múltiples controles afectados.
- No está clara la causa.
- El proceso depende excesivamente de actividades manuales.
- La organización ha cambiado sistemas o estructura.
- La administración no conoce con precisión dónde están las principales brechas.
En esos casos, puede ser conveniente realizar una evaluación del sistema de control interno para empresas con un alcance específico.
La página de Amézquita para este servicio contempla precisamente la revisión de políticas, procedimientos, responsables, autorizaciones, controles financieros, operativos y tecnológicos, así como la identificación de riesgos y oportunidades de mejora.
La diferencia está en el objetivo del trabajo
El informe del revisor fiscal comunica asuntos identificados dentro de su labor y de las responsabilidades que le corresponden.
Una evaluación de control interno, en cambio, puede contratarse específicamente para analizar de manera más amplia el diseño y funcionamiento de determinados controles o procesos.
Diferenciar ambos objetivos evita:
- Esperar que la revisoría cubra todos los controles de la organización.
- Contratar trabajos duplicados.
- Asumir que un hallazgo representa una evaluación completa del proceso.
- Trasladar a un tercero la responsabilidad de ejecutar las mejoras.
La administración conserva la responsabilidad sobre el plan de mejora
Una vez recibido el informe del revisor fiscal sobre el control interno, corresponde a la administración determinar cómo responderá a cada asunto.
El revisor puede comunicar una observación y formular recomendaciones dentro del alcance de su función, pero la empresa debe decidir:
- Qué acción implementará.
- Quién será responsable.
- Qué recursos destinará.
- Qué plazo es razonable.
- Qué riesgo puede tolerar temporalmente.
- Cómo comprobará la efectividad.
Este punto resulta especialmente importante cuando la solución requiere cambios tecnológicos, contratación de personal, modificaciones de procesos o inversiones que no pueden ejecutarse inmediatamente.
Las medidas temporales también deben documentarse
Cuando la solución definitiva necesita tiempo, puede ser necesario implementar controles compensatorios.
Ejemplo: si la empresa requiere varios meses para modificar los perfiles de un ERP, podría establecer temporalmente una revisión independiente de transacciones sensibles y generar reportes periódicos de excepciones.
La administración debería documentar:
- Qué medida temporal se adoptó.
- Qué riesgo cubre.
- Quién la ejecuta.
- Hasta cuándo estará vigente.
- Cuándo se implementará la solución definitiva.
Esto evita que una solución temporal se convierta en una práctica permanente sin evaluación.
Recibe asesoría experta para tu empresa ahora
Obtén asesoría de nuestros profesionales con experiencia en áreas clave para tu empresa y toma decisiones con mayor confianza, respaldo técnico y una visión estratégica de crecimiento claro.
Cómo demostrar que un hallazgo realmente fue corregido
La implementación de una acción no debería confundirse con su efectividad.
Una política puede existir y no aplicarse. Un sistema puede estar configurado y ser evadido. Una capacitación puede haberse realizado sin cambiar el comportamiento operativo.
Por eso, el cierre necesita evidencia.
Dependiendo del hallazgo, esta evidencia puede incluir:
- Reportes posteriores a la implementación.
- Muestras de transacciones.
- Aprobaciones.
- Registros de sistema.
- Conciliaciones.
- Pruebas de acceso.
- Seguimientos independientes.
- Indicadores de excepciones.
Ejemplo: si el hallazgo estaba relacionado con conciliaciones bancarias tardías, el cierre debería comprobar que durante varios periodos posteriores estas se realizaron oportunamente y contaron con la revisión correspondiente.
Seguimiento y comunicación con los órganos de gobierno
Los asuntos más relevantes deberían mantenerse visibles hasta que exista evidencia suficiente de su atención.
Un tablero ejecutivo puede mostrar:
- Hallazgo.
- Prioridad.
- Responsable.
- Fecha compromiso.
- Estado.
- Días de atraso.
- Medida temporal.
- Evidencia pendiente.
- Resultado de la validación.
La junta o el comité no necesita revisar cada acción menor. Su atención debería concentrarse en asuntos críticos, recurrentes, vencidos o que requieran decisiones de recursos.
La reincidencia es una señal especialmente importante
Cuando una observación aparece nuevamente, la administración debería revisar por qué ocurrió.
La recurrencia puede indicar:
- Acción correctiva insuficiente.
- Cierre basado únicamente en documentos.
- Falta de recursos.
- Responsabilidad poco clara.
- Control difícil de aplicar.
- Ausencia de seguimiento.
- Cambios posteriores en el proceso.
En lugar de volver a abrir exactamente el mismo plan, conviene revisar la causa y replantear la solución.
Varios de estos problemas también se relacionan con los errores comunes en revisoría fiscal: riesgos que debe evitar, especialmente cuando la empresa responde tarde, entrega información incompleta o no realiza seguimiento suficiente a las comunicaciones recibidas.
Convertir el informe en decisiones mejora la utilidad de la revisoría fiscal
El informe del revisor fiscal sobre el control interno aporta mayor valor cuando la administración lo transforma en acciones concretas y verificables.
La respuesta debería comenzar por comprender el riesgo, identificar la causa y priorizar la observación. Después corresponde asignar responsables, definir fechas y establecer qué evidencia demostrará que el asunto realmente fue atendido.
Cuando una observación revela problemas más amplios o recurrentes, una revisión especializada puede ayudar a profundizar en procesos y controles específicos. Cuando el asunto pertenece al alcance de la revisoría, la organización debe mantener una comunicación clara con el servicio de revisoría fiscal y conservar trazabilidad de las respuestas y compromisos asumidos.
El objetivo no es cerrar la mayor cantidad posible de hallazgos, sino reducir de manera comprobable los riesgos que dieron origen a ellos.
Preguntas frecuentes
? ¿Qué debería hacer primero la administración al recibir un hallazgo de control interno?
Primero debería confirmar los hechos, comprender el riesgo y determinar por qué el control existente no previno o detectó oportunamente la situación.
- Ejemplo: si existen pagos sin aprobación suficiente, no basta con pedir nuevas firmas; debe revisarse cómo se generan, autorizan y ejecutan esos pagos.
- Recomendación: documentar riesgo, causa, acción, responsable, fecha y evidencia esperada antes de considerar iniciada la remediación.
? ¿Todos los hallazgos del informe del revisor fiscal sobre el control interno tienen la misma prioridad?
No. La prioridad debería definirse considerando impacto, recurrencia, probabilidad, exposición financiera o regulatoria y capacidad de la empresa para detectar oportunamente el problema.
- Ejemplo: una mejora documental de bajo impacto no necesariamente requiere el mismo tratamiento que una debilidad que permita modificar datos bancarios sin aprobación independiente.
- Recomendación: utilizar criterios comunes de criticidad para ordenar los planes y escalar a gerencia o junta únicamente los asuntos que realmente lo ameriten.
? ¿Cuándo puede darse por cerrado un hallazgo?
El hallazgo debería cerrarse cuando exista evidencia de que la acción fue implementada y de que el control funciona de manera consistente, no únicamente cuando se complete una actividad administrativa.
- Ejemplo: emitir una nueva política no demuestra por sí solo que las autorizaciones estén funcionando correctamente.
- Recomendación: definir desde el inicio qué prueba o evidencia será necesaria para validar la efectividad antes de cambiar el estado a cerrado.
? ¿Cuándo conviene realizar una evaluación de control interno adicional?
Puede resultar conveniente cuando el hallazgo es recurrente, afecta varios procesos, evidencia múltiples controles débiles o requiere una revisión más amplia que el asunto identificado durante la revisoría fiscal.
- Ejemplo: observaciones repetidas sobre pagos, accesos y conciliaciones pueden indicar que existen debilidades más amplias en responsabilidades, autorizaciones o sistemas.
- Recomendación: definir primero qué procesos necesitan profundización para contratar una evaluación con alcance específico y evitar duplicar el trabajo de la revisoría fiscal.
? ¿Qué debe evaluar una empresa al contratar apoyo para corregir hallazgos de control?
Debería revisar experiencia en los procesos afectados, metodología, capacidad técnica, entregables y claridad sobre qué actividades realizará el proveedor y cuáles seguirán siendo responsabilidad de la administración.
- Ejemplo: si los hallazgos involucran controles contables y tecnológicos, puede ser necesario contar con perfiles que comprendan ambos componentes.
- Recomendación: solicitar una propuesta que defina alcance, procesos incluidos, cronograma, equipo, resultados esperados y criterios para priorizar las mejoras.
