¿Estamos centrando nuestra atención en los riesgos equivocados?
La agenda del riesgo incorpora retos ligados a tecnología, continuidad del negocio y toma de decisiones.
28 septiembre, 2026
6 min
Durante años, el sector financiero ha hecho un esfuerzo enorme por responder a una regulación cada vez más extensa, específica y cambiante. El resultado es, en muchos casos, un modelo de cumplimiento impecable sobre el papel. La pregunta que hoy plantean los supervisores es otra, y bastante más incómoda: ¿esos controles funcionan realmente?
La última Regulatory Alert de KPMG en Estados Unidos sobre BSA/AML/CFT Compliance (octubre 2026) recoge los resultados de las actuaciones recientes de FinCEN, OFAC, la Reserva Federal, la OCC, la SEC, la CFTC y FINRA sobre entidades financieras.
El patrón de incumplimientos es revelador porque no se refiere solo a la ausencia de requisitos, sino a la calidad del sistema de control:
Hay un mensaje que debería leerse en cualquier Comisión de Auditoría: según la alerta, documentar las preocupaciones o prolongar las revisiones internas sin adoptar medidas correctoras no satisface las obligaciones de cumplimiento, y no remediar a tiempo deficiencias conocidas expone a la entidad a que el incumplimiento se califique como deliberado. Es decir, el supervisor ya no premia saber que algo falla; exige demostrar que se ha corregido.
Aunque el análisis se refiere al mercado estadounidense, el fondo es perfectamente extrapolable a nuestro entorno. En sectores intensamente regulados, el objetivo prioritario ha sido, comprensiblemente, dar respuesta a los requerimientos. Pero la velocidad y la especificidad de la normativa bancaria han hecho que, en ocasiones, la construcción del modelo de control haya avanzado sin una adecuada alineación con los principios de diseño e implementación de un control interno eficaz, y sin incorporar suficientemente la experiencia de los profesionales de control interno.
En la práctica, vemos con frecuencia el mismo patrón: controles que replican el artículo de la ley en lugar de responder a un evento de riesgo concreto. Se verifica que el requisito “está cubierto”, pero no siempre se ha definido qué puede salir mal, cuál es el objetivo de control, qué umbral dispara una alerta, quién la revisa y con qué evidencia se acredita que el riesgo ha quedado mitigado de forma suficiente y eficaz.
El marco COSO es claro: primero se identifican y analizan los riesgos que amenazan los objetivos (principio 7); después se seleccionan y desarrollan actividades de control que contribuyan a mitigarlos hasta niveles aceptables (principio 10); se despliegan mediante políticas y procedimientos (principio 12); se evalúa su funcionamiento (principio 16) y las deficiencias se comunican y corrigen oportunamente (principio 17).
Cuando el control nace del requerimiento y no del riesgo, la cadena se rompe en el primer eslabón y todo lo que viene después, incluida la revisión independiente, verifica el cumplimiento formal, pero no la eficacia.
No es casualidad que las medidas correctoras impuestas en las órdenes de los reguladores estadounidenses apunten exactamente ahí: análisis de causa raíz, rediseño de controles y del programa, pruebas sobre la calidad, trazabilidad y gobierno del dato, revisiones retrospectivas de operaciones, evaluaciones de riesgo de toda la entidad periódicamente actualizadas y una supervisión reforzada del Consejo, que debe exigir responsabilidades a la dirección y recibir información puntual sobre deficiencias y avance de la remediación.
Muchas compañías de todos los sectores están replanteando sus modelos de cumplimiento en busca de eficiencia y optimización. Es una decisión acertada, y además es el momento idóneo para hacerse una pregunta previa: ¿los controles, tal y como están definidos, responden a criterios COSO y son suficientes para mitigar los riesgos? Optimizar sin revisar el diseño tiene un riesgo evidente: automatizar o racionalizar controles que nunca fueron eficaces, o eliminar precisamente los que sí lo eran. Antes de reducir, hay que saber qué cubre cada control y qué riesgo quedaría al descubierto.
Conocer la norma es imprescindible, pero no es suficiente. Diseñar un control eficaz es una disciplina en sí misma, con metodología, criterios y experiencia propios. Lo que hoy evidencian los supervisores estadounidenses es que el cumplimiento normativo sin una arquitectura de control interno sólida es frágil, y que la factura llega cuando ya no basta con haber documentado el problema. La próxima ola de transformación de los modelos de cumplimiento en el sector financiero no consistirá en añadir más controles, sino en tener mejores controles: basados en el riesgo, bien diseñados, probados y gobernados.
Deja un comentario