La tercera línea de defensa enfrenta un desafío singular. Auditoría debe proporcionar un aseguramiento independiente sobre si los foros de gobierno funcionan no solo en apariencia formal, sino en sustancia real. Una institución puede tener comités que se reúnen regularmente y cumplen requisitos regulatorios, pero carecer de efectividad en toma de decisiones y supervisión de riesgos. Es esta brecha entre forma y sustancia lo que auditoría interna debe identificar sin ambigüedad.
Se trata de evaluar si los foros de gobierno realmente influyen en decisiones estratégicas, detectan riesgos emergentes antes de materializarse, ejercen effective challenge genuino, y reciben información que les permite cumplir su función. Las preguntas críticas: ¿el directorio realmente comprende el perfil de riesgo? ¿el comité de riesgos tiene capacidad técnica para cuestionar metodologías complejas? ¿El ALCO toma decisiones basadas en análisis riguroso o en intuición?
Las Cuatro Dimensiones de Efectividad
La evaluación mide efectividad en múltiples dimensiones. La competencia y composición examina si los miembros poseen un conocimiento específico para entender riesgos particulares, evidenciado en profundidad de preguntas formuladas y capacidad de identificar inconsistencias. La calidad de información evalúa si los paquetes entregados son completos, precisos y oportunos, revisando no solo el contenido sino el proceso de generación. La dinámica de funcionamiento observa cómo realmente operan los foros, manifestándose en duración de discusión por tema, frecuencia de solicitudes de información adicional, y desacuerdos registrados. El seguimiento y la responsabilidad verifica mecanismos para implementación de decisiones, con registro sistemático de acciones acordadas y consecuencias por incumplimiento.
Herramientas de Revisión
La aproximación debe ser multinivel. La revisión documental examina términos de referencia, estatutos y análisis de contenido de actas identificando patrones: qué temas consumen mayor tiempo, cuáles se despachan sin debate, y si decisiones se implementaron. La observación directa de reuniones proporciona información que documentos no capturan: dinámica interpersonal, quién lidera discusiones, y lenguaje corporal que revela incomodidad. Las entrevistas individuales bajo confidencialidad revelan percepciones críticas: ¿sienten que tienen información necesaria? ¿qué les impide supervisión efectiva?
Indicadores de Efectividad por Foro
Para el directorio, la efectividad se mide en tiempo asignado a temas estratégicos versus operacionales y profundidad del effective challenge mediante preguntas críticas, solicitudes de análisis adicional, y casos donde rechazó propuestas del management.
Para el comité de riesgos, indicadores giran alrededor de anticipar problemas. ¿El comité discutió riesgos emergentes antes de convertirse en problemas evidentes? En la crisis de bancos regionales de dos mil veintitrés, ¿el comité estaba discutiendo activamente riesgo de tasas de interés en portafolio de valores? Si no, falló en su función anticipatoria.
Para el ALCO, la efectividad se evalúa por calidad de decisiones y alineación con apetito de riesgo. ¿Las decisiones sobre estrategia de fondeo o gaps de liquidez están respaldadas por análisis cuantitativos de escenarios y consideración explícita de riesgos versus beneficios?
Desafíos y Reporte
Auditoría interna enfrenta desafíos inherentes. El primero es el acceso y la independencia. Requiere acceso no solo a documentos sino a dinámicas internas, apoyadop en un mandato claro en estatutos corporativos. El segundo es la objetividad cuando existen relaciones profesionales cercanas, requiriendo una disciplina profesional y una consideración de recursos externos para evaluaciones sensibles. El tercero es interpretar correctamente los hallazgos, evitando tanto minimizar problemas genuinos como sobre-dramatizar diferencias normales.
El reporte debe ser directo, basado en la evidencia y sin ambigüedad sobre las severidad. Si el directorio no ejerce una supervisión efectiva, debe declararse claramente con la evidencia específica. Simultáneamente debe ser equilibrado, destacando fortalezas además de deficiencias para mantener credibilidad.
Cuando auditoría interna cumple rigurosamente su mandato, proporciona servicio de valor estratégico incalculable. Ningún otro actor tiene el mandato, independencia y perspectiva transversal para evaluar objetivamente si la gobernanza funciona. Cuando identifica tempranamente que el directorio ha perdido capacidad de effective challenge, permite correcciones antes de desastres financieros.
Cumplir este rol demanda coraje profesional. Reportar deficiencias en efectividad del directorio es inherentemente incómodo y políticamente sensible. Instituciones que valoran genuinamente un gobierno sólido, reconocen este valor y protegen independencia de auditoría interna.
La evaluación debe ser un componente permanente del plan de auditoría, con evaluaciones formales anuales complementadas con observación continua. Solo así puede auditoría interna identificar tendencias, detectar un deterioro gradual en efectividad, y proporcionar un aseguramiento sobre cuales mecanismos de gobierno funcionan apropiadamente. Las instituciones que han navegado exitosamente las crisis, invariablemente tienen un gobierno efectivo que permitió anticipar problemas y mantener la disciplina en la gestión de riesgos.