En el dinámico mundo de los negocios, donde en la actualidad, la agilidad y la innovación son clave, la gestión de riesgos a menudo se percibe como un obstáculo. Sin embargo, adoptar un modelo robusto de control es lo que permite a las empresas avanzar con confianza y tomar decisiones informadas. El marco de las Tres Líneas de Defensa, lejos de ser un simple diagrama, refleja una verdadera filosofía de compromiso con «hacer las cosas bien».

Si bien este modelo ha sido un estándar global por décadas, ha evolucionado significativamente. En 2020, el Instituto de Auditores Internos (IIA) lo relanzó como el Modelo de las Tres Líneas, pasando de un enfoque puramente defensivo a uno que enfatiza la creación de valor y la gobernanza. La esencia de las líneas se mantiene, pero la visión es más proactiva y estratégica.

Primera Línea: Los dueños del riesgo

Esta línea está conformada por el personal y los directivos responsables de la gestión diaria de las operaciones. Aquí es donde se crean y se asumen los riesgos inherentes al negocio. Su función principal es gestionar de forma proactiva esos riesgos a través de controles internos, procesos definidos y supervisión directa. Su enfoque es la agilidad en la entrega y resolución de problemas, asegurando que el cumplimiento normativo se integre de manera fluida en la operación. Un ejemplo claro es un equipo de ventas que, además de cumplir sus metas, se asegura de que cada contrato cumpla con la normativa de privacidad de datos.

Segunda Línea: El soporte estratégico

La segunda línea está compuesta por funciones de control y apoyo, como la de riesgos, cumplimiento, legal, control de gestión. Su misión es supervisar y desafiar las decisiones de la primera línea, asegurando que se apliquen las políticas y los controles adecuados. Su rol es vital para mantener la rigurosidad operativa y el cumplimiento normativo. Trabajan de forma cercana con la primera línea, proveyendo marcos, metodologías y capacitación. Aquí, el uso estratégico de la tecnología es crucial para automatizar la supervisión y obtener una visión global de la exposición al riesgo en toda la organización.

Tercera Línea: El garante de la independencia

La tercera línea está a cargo de la auditoría interna. Su principal característica es la independencia. Su objetivo es proporcionar una evaluación objetiva y una garantía sobre la eficacia de las dos primeras líneas. La auditoría interna evalúa si los controles están funcionando como se espera y si los riesgos se están gestionando de forma adecuada. Su visión es de alto nivel, lo que le permite tener una mirada global de las mejores prácticas. A través de sus hallazgos, contribuye a la mejora continua y a la gobernanza general de la empresa.

El desafío de la implementación: ¿Qué pasa si la segunda línea no existe?

Una de las confusiones más comunes, especialmente en empresas en crecimiento, ocurre cuando no se ha desarrollado una segunda línea robusta. Al buscar una solución rápida, la dirección a menudo contrata auditores internos o crea una función de auditoría interna con la expectativa de que ellos asuman el trabajo que le correspondería a la segunda línea. El problema es que, en este escenario, los auditores internos pierden su independencia al asumir tareas de diseño y supervisión de controles. Se convierten en parte del proceso operativo, diluyendo su capacidad para ofrecer una evaluación objetiva. Esto no solo genera un gasto ineficiente, sino que también deja a la organización sin una verdadera tercera línea que pueda asegurar la solidez del sistema de control.

La evolución correcta y las alternativas estratégicas

El camino correcto es la evolución natural del modelo. La organización debe primero fortalecer su primera línea, inculcando una cultura de gestión de riesgo. Luego, a medida que crece, debe establecer y formalizar la segunda línea, asignando roles de cumplimiento y gestión de riesgos.

Si una empresa no puede permitirse una auditoría interna dedicada, existen alternativas estratégicas que reflejan el mismo compromiso con «hacer las cosas bien»:

1. Auditorías Puntuales: Contratar servicios de auditoría para áreas de alto riesgo, dejando claro que su rol es el de tercera línea, es decir, que evalúen la efectividad de los controles y no que los diseñen.
2. Tecnología como Aliada: Implementar herramientas tecnológicas que automaticen la supervisión y los controles. Esto se alinea con el uso estratégico de la tecnología, liberando recursos y minimizando la necesidad de personal dedicado a tareas manuales.

La clave para el éxito del Modelo de las Tres Líneas es definir claramente los roles y las responsabilidades, utilizando la tecnología para automatizar tareas repetitivas y fomentando la colaboración. Cuando cada parte entiende su rol y la importancia de su contribución, las líneas no son solo un modelo, sino un motor que impulsa el crecimiento sostenible y la confianza en la toma de decisiones. Es así como una firma demuestra su verdadero compromiso con «hacer las cosas bien» en todos los niveles.