Marco COBIT 2019 e ISO/IEC 27001 aplicados al control interno de la información financiera

Introducción

En un entorno empresarial cada vez más digital, el control interno de la información financiera ya no depende únicamente de políticas contables, segregación de funciones o revisiones manuales. Hoy, la confiabilidad de los estados financieros también está directamente vinculada a la forma en que una organización gestiona su tecnología, protege su información y controla los accesos a sus sistemas. En ese contexto, dos marcos resultan especialmente relevantes: COBIT 2019 e ISO/IEC 27001.

Para empresas, ONGs, asociaciones y entidades con operaciones en Perú, aplicar estos estándares no solo mejora la seguridad de la información, sino que también fortalece la integridad, disponibilidad y trazabilidad de los datos que alimentan la contabilidad y los reportes financieros. Esto es fundamental para responder a auditorías externas, revisiones de donantes, fiscalizaciones tributarias y exigencias de gobierno corporativo.

Desde la perspectiva de auditoría, el tema se conecta además con la NIA 315 (Revisada 2019), “Identificación y valoración de los riesgos de incorrección material”, la NIA 330, “Respuestas del auditor a los riesgos valorados” y la NIA 265, “Comunicación de las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad”. Si los controles tecnológicos que soportan la información financiera son débiles, el riesgo de incorrecciones materiales aumenta de manera significativa.

En este artículo explicamos cómo COBIT 2019 e ISO/IEC 27001 pueden aplicarse al control interno de la información financiera, cuáles son sus diferencias, cómo se complementan y qué pasos concretos pueden seguir las organizaciones peruanas para implementarlos con criterio práctico.

¿Qué es el control interno de la información financiera?

El control interno de la información financiera comprende el conjunto de políticas, procedimientos, actividades de supervisión y controles tecnológicos diseñados para asegurar que la información contable y financiera sea:

• Íntegra: que no sea alterada sin autorización.
• Exacta: que refleje correctamente las operaciones.
• Oportuna: que esté disponible para la toma de decisiones y el cumplimiento regulatorio.
• Confiable: que permita emitir estados financieros razonables.
• Trazable: que exista evidencia de quién registró, aprobó o modificó una transacción.

En la práctica, esto incluye controles sobre ERP, software contable, plataformas de tesorería, sistemas de planillas, aplicativos tributarios y repositorios documentarios. Por ejemplo, si un usuario puede modificar asientos contables sin aprobación o si no existe bitácora de cambios en el módulo de cuentas por pagar, el riesgo de fraude o error aumenta considerablemente.

COBIT 2019: gobierno y gestión de TI orientados al control financiero

COBIT 2019 es un marco de gobierno y gestión de la información y la tecnología desarrollado por ISACA. Su principal fortaleza es que ayuda a alinear la tecnología con los objetivos del negocio, establecer responsabilidades, definir procesos y medir el desempeño de los controles.

Aplicado al control interno de la información financiera, COBIT 2019 permite responder preguntas clave como:

• ¿Quién aprueba los accesos a los sistemas contables?
• ¿Cómo se gestionan los cambios en el software financiero?
• ¿Qué controles existen sobre interfaces entre sistemas?
• ¿Cómo se monitorean incidentes que afectan la integridad de la información?
• ¿Qué indicadores muestran si los controles funcionan?

Objetivos de COBIT 2019 más relevantes para la información financiera

Aunque COBIT 2019 es amplio, algunos objetivos son especialmente útiles para fortalecer el control interno financiero:

• EDM03 – Ensure Risk Optimization: asegura que los riesgos tecnológicos, incluidos los que afectan la información financiera, sean identificados y gestionados.
• APO12 – Managed Risk: permite evaluar riesgos de TI relacionados con registros contables, cierres financieros y reportes regulatorios.
• APO13 – Managed Security: orienta la gestión de seguridad de la información.
• BAI06 – Managed IT Changes: controla cambios en sistemas que pueden alterar cálculos contables o reportes.
• DSS05 – Managed Security Services: fortalece monitoreo, detección y respuesta ante incidentes.
• MEA02 – Managed System of Internal Control: ayuda a evaluar si el sistema de control interno funciona de forma adecuada.

Para una empresa peruana con un ERP integrado, por ejemplo, BAI06 – Managed IT Changes es crucial. Si se modifica la lógica de depreciación de activos fijos sin pruebas ni aprobación formal, podría generarse un error material en los estados financieros.

ISO/IEC 27001: seguridad de la información con impacto financiero

ISO/IEC 27001 es la norma internacional para establecer, implementar, mantener y mejorar un Sistema de Gestión de Seguridad de la Información (SGSI). Su enfoque se centra en proteger la confidencialidad, integridad y disponibilidad de la información.

En el ámbito financiero, ISO/IEC 27001 es especialmente valiosa porque protege los datos que sustentan la contabilidad, la tesorería, la facturación, la gestión de proveedores, las remuneraciones y los reportes tributarios.

Cuando una organización aplica ISO/IEC 27001 al proceso financiero, reduce riesgos como:

• Alteración no autorizada de asientos contables.
• Pérdida de información de respaldo para auditoría.
• Accesos indebidos a planillas o cuentas bancarias.
• Interrupción del sistema contable durante el cierre mensual.
• Filtración de información financiera sensible.

Controles de ISO/IEC 27001 útiles para el control interno financiero

Dependiendo de la versión adoptada por la organización y su declaración de aplicabilidad, suelen ser especialmente relevantes los controles relacionados con:

• Gestión de accesos y privilegios.
• Segregación de funciones.
• Copias de seguridad y recuperación.
• Registro y monitoreo de eventos.
• Gestión de vulnerabilidades.
• Control de cambios.
• Clasificación de la información.
• Seguridad en relaciones con terceros.

Por ejemplo, una ONG peruana que administra fondos de cooperación internacional debería restringir el acceso a reportes de ejecución presupuestal y conciliaciones bancarias solo a personal autorizado, además de asegurar respaldos periódicos y evidencia de revisión.

COBIT 2019 vs ISO/IEC 27001: diferencias y complementariedad

Aunque ambos marcos se relacionan con control y seguridad, no cumplen exactamente la misma función. COBIT 2019 tiene un enfoque más amplio de gobierno y gestión de TI, mientras que ISO/IEC 27001 profundiza en la seguridad de la información mediante un sistema de gestión formal.

En términos prácticos, COBIT 2019 ayuda a decidir qué gobernar y cómo supervisarlo, mientras que ISO/IEC 27001 ayuda a establecer controles específicos para proteger la información. Por ello, su aplicación conjunta suele ser más efectiva que usar uno solo.

Relación con auditoría financiera y control interno

Desde la auditoría externa e interna, la aplicación de COBIT 2019 e ISO/IEC 27001 fortalece la evaluación del ambiente de control y de los controles generales de TI. Esto es clave porque muchos controles financieros dependen de sistemas automatizados.

La NIA 315 (Revisada 2019), “Identificación y valoración de los riesgos de incorrección material”, exige comprender el sistema de control interno de la entidad, incluyendo el uso de tecnología de la información. Asimismo, la NIA 330, “Respuestas del auditor a los riesgos valorados”, requiere diseñar procedimientos en función de esos riesgos. Si los controles de acceso, cambios o respaldos son débiles, el auditor probablemente aumentará pruebas sustantivas.

Además, cuando se detectan deficiencias significativas, la NIA 265, “Comunicación de las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad”, obliga a comunicarlas oportunamente.

En Perú, esto también tiene implicancias tributarias y societarias. Por ejemplo:

• La Ley General de Sociedades, Ley N.° 26887, en su artículo 221, exige que los estados financieros se preparen con claridad y reflejen razonablemente la situación financiera de la sociedad.
• El Código Tributario, aprobado por Decreto Supremo N.° 133-2013-EF, en su artículo 87, establece la obligación de los administrados de facilitar las labores de fiscalización y conservar libros, registros y documentación sustentatoria.
• La debilidad en la seguridad o trazabilidad de la información puede afectar la capacidad de sustentar operaciones ante SUNAT.

Principales riesgos sobre la información financiera que estos marcos ayudan a mitigar

Cómo aplicar COBIT 2019 e ISO/IEC 27001 al control interno financiero

1. Identificar procesos financieros críticos

El primer paso es determinar qué procesos generan mayor riesgo para los estados financieros. Normalmente incluyen:

• Tesorería y pagos.
• Facturación y cuentas por cobrar.
• Compras y cuentas por pagar.
• Planillas.
• Cierre contable y reportes financieros.
• Activos fijos e inventarios.

En una empresa comercial peruana, por ejemplo, el módulo de inventarios puede ser crítico si alimenta automáticamente el costo de ventas. Un error de configuración podría distorsionar la utilidad bruta.

2. Mapear riesgos tecnológicos asociados

Luego se deben identificar riesgos como accesos indebidos, ausencia de aprobaciones, interfaces defectuosas, falta de respaldos o dependencia de una sola persona para administrar el sistema.

Aquí COBIT 2019 aporta la estructura para evaluar el riesgo y asignar responsables, mientras ISO/IEC 27001 ayuda a traducir ese análisis en controles concretos.

3. Evaluar controles generales de TI

Los controles generales de TI suelen incluir:

• Gestión de usuarios y contraseñas.
• Altas, bajas y modificación de accesos.
• Segregación de funciones incompatibles.
• Gestión de cambios.
• Respaldos y recuperación.
• Monitoreo de incidentes.
• Seguridad de proveedores tecnológicos.

Si un mismo usuario puede crear proveedores, registrar facturas y aprobar pagos, existe una debilidad clara de control interno.

4. Integrar controles con políticas y evidencia

No basta con afirmar que existen controles. Deben estar documentados, aprobados, comunicados y respaldados con evidencia. Por ejemplo:

• Política de accesos al sistema contable.
• Matriz de segregación de funciones.
• Procedimiento de cambios en aplicativos financieros.
• Registro de revisiones periódicas de usuarios activos.
• Pruebas de restauración de backups.

5. Monitorear y mejorar continuamente

Un error frecuente es implementar controles solo para pasar una auditoría. Tanto COBIT 2019 como ISO/IEC 27001 requieren seguimiento continuo. Indicadores útiles pueden ser:

• Número de usuarios con privilegios críticos.
• Incidentes de seguridad en sistemas financieros.
• Porcentaje de cambios implementados con aprobación formal.
• Tiempo de recuperación del sistema contable.
• Hallazgos de auditoría pendientes de cierre.

Ejemplo práctico: empresa peruana del sector servicios

Una empresa de servicios en Lima con ingresos anuales de S/ 18 millones utilizaba un software contable conectado con su sistema de facturación. Durante una revisión interna se detectó que el jefe de sistemas tenía acceso administrador al módulo contable y podía modificar parámetros sin autorización del área financiera.

Riesgos identificados:

• Alteración de reglas de reconocimiento de ingresos.
• Cambios no documentados en cuentas contables.
• Falta de trazabilidad ante auditoría externa.

Aplicación de COBIT 2019:

• Se definieron responsables de aprobación de cambios bajo BAI06 – Managed IT Changes.
• Se incorporó supervisión periódica de accesos críticos bajo MEA02 – Managed System of Internal Control.
• Se evaluó el riesgo bajo APO12 – Managed Risk.

Aplicación de ISO/IEC 27001:

• Se restringieron privilegios de administración.
• Se implementó bitácora de cambios y revisión mensual.
• Se formalizó política de control de accesos y respaldo.

Resultado: en el siguiente cierre anual, la empresa redujo observaciones de auditoría sobre TI y mejoró la confiabilidad de sus reportes financieros.

Ejemplo práctico: ONG con fondos de cooperación internacional

Una ONG con operaciones en Cusco, Ayacucho y Loreto administraba proyectos financiados por cooperantes extranjeros. El área contable consolidaba información de varias sedes mediante hojas de cálculo y archivos enviados por correo electrónico.

Problemas detectados:

• Versiones distintas de archivos presupuestales.
• Ausencia de control de acceso sobre reportes financieros de proyectos.
• Falta de respaldo centralizado de la documentación.

Aplicación de COBIT 2019:

• Se estableció un modelo de gobierno de información para definir responsables por sede.
• Se identificaron procesos críticos de consolidación y revisión.
• Se fijaron indicadores de oportunidad y calidad de reportes.

Aplicación de ISO/IEC 27001:

• Se clasificó la información financiera por nivel de sensibilidad.
• Se migró a un repositorio seguro con controles de acceso.
• Se implementaron respaldos automáticos y control de versiones.

Resultado: la ONG mejoró la consistencia de sus reportes a donantes y redujo el riesgo de pérdida o alteración de información clave.

Errores frecuentes en la implementación

• Creer que seguridad informática y control interno financiero son temas separados.
• Adoptar controles tecnológicos sin involucrar a contabilidad, tesorería y gerencia.
• Documentar políticas que no se aplican realmente.
• No revisar periódicamente accesos de usuarios.
• Depender de controles manuales cuando el volumen de operaciones ya exige automatización.
• No considerar a proveedores externos que alojan o administran sistemas financieros.

Recomendaciones para empresas y ONGs en Perú

Adoptar un enfoque proporcional al tamaño y riesgo

No todas las organizaciones necesitan una implementación compleja. Una mediana empresa puede comenzar por accesos, cambios, respaldos y monitoreo. Una ONG con múltiples financiadores puede priorizar integridad documental, trazabilidad y seguridad de reportes.

Involucrar a auditoría interna o asesores especializados

La evaluación independiente ayuda a identificar brechas que la operación diaria no siempre percibe. Además, facilita preparar evidencia útil para auditorías financieras, revisiones de compliance o procesos de certificación.

Alinear TI, finanzas y cumplimiento

Los mejores resultados se obtienen cuando sistemas, contabilidad, tesorería, recursos humanos y dirección trabajan bajo una misma matriz de riesgos y controles.

Documentar con criterio práctico

La documentación debe ser suficiente para demostrar control, pero también útil para operar. Procedimientos simples, matrices de acceso y reportes de revisión suelen ser más efectivos que manuales extensos que nadie consulta.

Conclusión

El Marco COBIT 2019 y la ISO/IEC 27001 son herramientas altamente valiosas para fortalecer el control interno de la información financiera. Lejos de ser estándares exclusivos del área de sistemas, ambos impactan directamente en la confiabilidad de los estados financieros, la prevención del fraude, la trazabilidad de las operaciones y la capacidad de responder ante auditorías y fiscalizaciones en el contexto peruano.

COBIT 2019 aporta estructura de gobierno, gestión de riesgos, supervisión y mejora del control interno; ISO/IEC 27001, por su parte, proporciona una base sólida para proteger la información financiera mediante controles de seguridad concretos y sostenibles. Aplicados en conjunto, permiten a empresas y ONGs reducir vulnerabilidades críticas y elevar la madurez de sus procesos financieros.

Si su organización necesita evaluar controles de TI vinculados a la información financiera, identificar brechas de auditoría o diseñar una hoja de ruta práctica de implementación, en Carlos Lingan & Asociados S.C. podemos ayudarle. Para consultas, escríbanos a auditor@carloslingan.pe.