En el mundo corporativo, garantizar la confiabilidad de la información financiera y prevenir fraudes no es solo una buena práctica: en muchas jurisdicciones, es una obligación legal. Dos de los marcos y regulaciones más influyentes en este ámbito son COSO y la Ley Sarbanes–Oxley (SOX). Aunque cumplen funciones distintas, su interrelación es clave para un sistema de control interno sólido, especialmente en empresas que cotizan en bolsa en Estados Unidos o que reportan a inversionistas internacionales.
1. ¿Qué es COSO?
COSO (Committee of Sponsoring Organizations of the Treadway Commission) es un marco de control interno reconocido internacionalmente.
Su objetivo es proporcionar principios y directrices para:
- Diseñar y evaluar sistemas de control interno.
- Identificar y gestionar riesgos.
- Asegurar el cumplimiento normativo y la eficacia operativa.
El modelo más conocido es el COSO 2013, que establece cinco componentes:
- Ambiente de control.
- Evaluación de riesgos.
- Actividades de control.
- Información y comunicación.
- Actividades de monitoreo.
2. ¿Qué es SOX?
La Sarbanes–Oxley Act (SOX) es una ley federal estadounidense promulgada en 2002, tras escándalos corporativos como Enron y WorldCom.
Su finalidad es proteger a los inversionistas asegurando que la información financiera de las empresas públicas sea exacta, completa y libre de manipulación.
Puntos clave:
- Aplica principalmente a empresas que cotizan en bolsa en EE. UU.
- Introduce sanciones severas para la falsificación o manipulación de datos financieros.
- La Sección 404 obliga a la gerencia y a los auditores externos a evaluar y reportar la efectividad del control interno sobre la información financiera (Internal Control over Financial Reporting o ICFR).
3. Cómo se interrelacionan COSO y SOX
Aunque SOX no impone un marco específico, en la práctica COSO es el estándar más utilizado para cumplir con sus requisitos, especialmente en la Sección 404. Esto se debe a que COSO:
- Proporciona una metodología clara para identificar y mitigar riesgos que afectan la información financiera.
- Establece principios y criterios medibles para evaluar la efectividad de los controles.
- Facilita la documentación y las pruebas necesarias para auditorías y certificaciones.
En términos sencillos:
- SOX establece el “qué”: exige que haya controles internos efectivos y comprobables.
- COSO proporciona el “cómo”: ofrece la guía práctica para diseñar, implementar y evaluar esos controles.
4. Aplicación práctica en las empresas
En una compañía sujeta a SOX, el proceso típico es:
- Evaluar riesgos: COSO guía la identificación de riesgos relevantes para la información financiera.
- Diseñar controles: se implementan controles preventivos y detectivos siguiendo la estructura de COSO.
- Documentar procesos: se registran políticas, procedimientos y flujos de aprobación.
- Probar efectividad: se realizan pruebas periódicas para verificar que los controles funcionan.
- Reportar resultados: la gerencia certifica el cumplimiento ante la SEC, con evidencia respaldada por el marco COSO.
5. Beneficios de usar COSO para cumplir con SOX
- Estandarización: proporciona un lenguaje común para directivos, auditores y reguladores.
- Enfoque integral: no solo cubre aspectos financieros, sino también operativos y de cumplimiento.
- Evidencia sólida: facilita la generación de reportes confiables que soporten la certificación anual.
- Mejora continua: fomenta la revisión y optimización constante de los procesos de control interno.
6. Ejemplo real
Imaginemos una empresa mexicana que cotiza en la Bolsa de Nueva York.
- Por SOX, debe reportar anualmente sobre la efectividad de su control interno sobre la información financiera.
- Decide implementar el marco COSO para mapear riesgos, documentar procesos clave (ventas, compras, pagos, cierre contable) y establecer controles específicos.
- Gracias a la metodología COSO, la empresa no solo cumple con SOX, sino que mejora su eficiencia operativa y reduce la probabilidad de errores o fraudes.
Conclusión
COSO y SOX son dos piezas que encajan a la perfección:
- SOX establece la obligación legal de contar con controles internos efectivos y verificables.
- COSO brinda la metodología probada para implementarlos, evaluarlos y demostrar su efectividad.
En un entorno corporativo cada vez más regulado, entender esta interrelación no solo es vital para el cumplimiento normativo, sino también para fortalecer la confianza de inversionistas, clientes y socios de negocio.
0 comentarios