La Evolución de COSO: De Control Interno a la Gestión Estratégica del Riesgo

Desde su aparición en 1985, COSO ha sido un referente en materia de control interno y gestión de riesgos. Pero más allá de su fama como metodología, lo verdaderamente interesante es cómo ha evolucionado a lo largo de los años, adaptándose a los desafíos de cada época y expandiendo su alcance desde las operaciones hasta la estrategia empresarial.

En este artículo exploraremos cómo se relacionan y en qué se diferencian las principales versiones de COSO: 1992, 2004, 2013 y 2017.

 COSO 1992: El punto de partida

El primer gran hito de COSO fue la publicación en 1992 de su Marco Integrado de Control Interno. Este documento estructuró por primera vez los elementos esenciales para un sistema de control interno eficaz, agrupados en cinco componentes:

1. Ambiente de control
2. Evaluación de riesgos
3. Actividades de control
4. Información y comunicación
5. Supervisión

Este marco fue adoptado ampliamente por empresas, auditores y reguladores. Su objetivo principal era mejorar la confiabilidad de la información financiera y prevenir el fraude.

COSO 2004: Gestión de riesgos empresariales (ERM)

Con el tiempo, quedó claro que el control interno, aunque necesario, no era suficiente para enfrentar los riesgos estratégicos de las organizaciones modernas. En respuesta, COSO desarrolló en 2004 un nuevo marco: Enterprise Risk Management (ERM).

Este modelo amplió la visión, permitiendo a las organizaciones:

• Integrar la gestión del riesgo con la estrategia
• Definir su apetito de riesgo
• Evaluar riesgos desde una perspectiva organizacional completa

Importante: COSO ERM 2004 no reemplazó al marco de 1992; lo complementó, abordando niveles más altos de gestión.

COSO 2013: Una actualización necesaria

En 2013, COSO revisó su marco original de 1992 para adaptarlo a las nuevas realidades tecnológicas, regulatorias y organizativas. Aunque los cinco componentes se mantuvieron, se introdujeron 17 principios fundamentales, que hacen más fácil su aplicación y evaluación.

Esta versión fortaleció la transparencia, la trazabilidad y la capacidad de adaptación del sistema de control interno, haciéndolo más útil en contextos modernos.

COSO 2017: Riesgo al servicio de la estrategia

Finalmente, en 2017 se publica una versión totalmente renovada del marco de ERM:

“COSO ERM – Integrando la estrategia y el desempeño”.

Aquí, el foco se traslada hacia cómo el riesgo puede ser una herramienta para crear y proteger valor, y no solo un elemento a mitigar.

Las principales novedades de esta versión incluyen:

• Alineación directa con la estrategia organizacional
• Enfoque en desempeño, no solo en cumplimiento
• Mayor énfasis en cultura, gobernanza y adaptación al cambio

Este marco reemplaza al COSO ERM 2004, modernizando el lenguaje y la estructura para una gestión más dinámica y alineada con el entorno empresarial actual.

¿Cómo se conectan estas versiones?

Cada versión de COSO responde a una evolución en el pensamiento empresarial:

Conclusión: COSO, una metodología viva

COSO no es un marco estático. Es una metodología viva, que ha evolucionado junto con las necesidades de las organizaciones. Desde su visión fundacional del control interno hasta su enfoque actual en la estrategia y el desempeño, COSO se mantiene como una guía esencial para el gobierno corporativo moderno.

Adoptar COSO hoy es más que cumplir con regulaciones: es una forma de pensar, anticipar y decidir con inteligencia en un mundo lleno de incertidumbre.

Helmut Serrano