Indicadores Clave de Riesgo (KRI) e Indicadores de Control (KCI): cómo medir la efectividad del control interno

¿Qué son los KRI y KCI y por qué son importantes para el control interno?

En un entorno empresarial cada vez más exigente, medir la efectividad del control interno ya no puede basarse únicamente en percepciones o revisiones esporádicas. Las organizaciones necesitan métricas objetivas que les permitan identificar riesgos a tiempo, evaluar si los controles funcionan y tomar decisiones correctivas con evidencia. En ese contexto, los Indicadores Clave de Riesgo (KRI) y los Indicadores Clave de Control (KCI) se han convertido en herramientas esenciales para directorios, gerencias, áreas de auditoría interna, cumplimiento y finanzas.

En términos simples, los KRI ayudan a monitorear señales de aumento en la exposición al riesgo, mientras que los KCI permiten verificar si un control está operando de manera efectiva. Ambos indicadores son complementarios y, cuando se diseñan correctamente, fortalecen la gestión del riesgo, mejoran la supervisión y facilitan una auditoría más enfocada.

Para una empresa peruana, una ONG, una asociación sin fines de lucro o incluso una empresa familiar en crecimiento, implementar KRI y KCI puede marcar la diferencia entre detectar un problema a tiempo o enfrentar pérdidas económicas, contingencias tributarias, observaciones de auditoría o incluso fraudes.

Desde la perspectiva normativa, aunque las NIIF no establecen una lista obligatoria de KRI o KCI, sí exigen información confiable y procesos de control consistentes. Asimismo, en auditoría, la NIA 315 - Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y su entorno y la NIA 330 - Respuestas del auditor a los riesgos valorados refuerzan la necesidad de comprender los controles y evaluar su diseño e implementación. Además, la NIA 265 - Comunicación de las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad destaca la importancia de identificar y comunicar debilidades en el sistema de control.

Diferencia entre KRI y KCI

Aunque suelen mencionarse juntos, los KRI y KCI cumplen funciones distintas. Entender esta diferencia es clave para evitar sistemas de monitoreo confusos o poco útiles.

Indicadores Clave de Riesgo (KRI)

Los KRI son métricas que alertan sobre cambios en el nivel de exposición a un riesgo. Su objetivo principal es anticipar eventos adversos o, al menos, advertir que la probabilidad o impacto de un riesgo está aumentando.

Por ejemplo, si una empresa comercial en Lima detecta que el porcentaje de cuentas por cobrar vencidas mayores a 90 días sube de 8% a 18%, ese incremento puede ser un KRI de riesgo crediticio y de liquidez.

Indicadores Clave de Control (KCI)

Los KCI son métricas que evalúan si un control específico está funcionando como fue diseñado. Su objetivo es medir la efectividad operativa del control.

Siguiendo el ejemplo anterior, si la empresa tiene como control la aprobación de líneas de crédito por niveles de autorización, un KCI podría ser el porcentaje de expedientes de crédito revisados con documentación completa y aprobación formal antes del despacho.

Tabla comparativa: KRI vs KCI

¿Por qué medir la efectividad del control interno con indicadores?

Muchas organizaciones cuentan con manuales, políticas y procedimientos bien redactados, pero eso no garantiza que los controles se apliquen de manera consistente. Un control puede existir en papel y fallar en la práctica por falta de supervisión, exceso de carga operativa, desconocimiento del personal o deficiencias tecnológicas.

Los indicadores permiten pasar de una visión teórica a una gestión basada en evidencia. Entre sus principales beneficios se encuentran:

• Detección temprana de desviaciones antes de que se materialicen pérdidas significativas.
• Priorización de recursos en procesos críticos o con mayor exposición.
• Mejor soporte para auditoría interna y externa.
• Mayor trazabilidad para directorio, gerencia y comités.
• Fortalecimiento del cumplimiento tributario, laboral y financiero.
• Mejora continua de procesos y controles.

En el caso peruano, esto es particularmente relevante para empresas sujetas a fiscalizaciones de SUNAT, supervisión sectorial, exigencias de donantes en ONGs o requisitos de entidades financieras. Un control no medido es un control difícil de defender frente a una auditoría o una revisión regulatoria.

Cómo diseñar KRI y KCI útiles para su organización

No todo dato es un buen indicador. Un error frecuente es crear tableros con demasiadas métricas que nadie analiza o que no generan decisiones concretas. Para que un KRI o KCI sea realmente útil, debe cumplir ciertos criterios.

1. Partir de los riesgos y objetivos del proceso

El punto de partida no debe ser el sistema o el reporte disponible, sino el riesgo que se desea gestionar. Por ejemplo:

• Proceso: Tesorería
• Riesgo: Pagos no autorizados o duplicados
• Control: Validación previa de órdenes de pago y segregación de funciones
• KRI: Número de pagos observados por proveedores en el mes
• KCI: Porcentaje de pagos con doble aprobación documentada

2. Definir métricas claras y medibles

Un indicador debe tener fórmula, fuente de datos, periodicidad, responsable y umbral. Si no se define con precisión, cada área lo interpretará de manera distinta.

Por ejemplo:

• Indicador: % de conciliaciones bancarias realizadas dentro de los primeros 10 días hábiles del mes siguiente
• Fórmula: Número de cuentas conciliadas oportunamente / total de cuentas bancarias x 100
• Meta: 100%
• Umbral de alerta: Menor a 95%
• Responsable: Jefe de Contabilidad

3. Establecer umbrales y semáforos

Los indicadores deben facilitar decisiones. Por eso conviene usar rangos de tolerancia:

• Verde: control o riesgo dentro del nivel aceptable
• Amarillo: desviación moderada que requiere seguimiento
• Rojo: desviación crítica que exige acción inmediata

Por ejemplo, en una ONG que administra fondos de cooperación internacional, un KCI sobre sustentación documentaria de gastos podría definirse así:

• Verde: 98% a 100%
• Amarillo: 95% a 97.99%
• Rojo: menos de 95%

4. Asegurar calidad de la información

Un indicador es tan confiable como los datos que lo alimentan. Si la base de datos tiene errores, registros incompletos o actualizaciones tardías, el resultado será engañoso. Aquí es importante articular el diseño de indicadores con la calidad del sistema contable, ERP, software de planillas o registros manuales.

5. Revisar periódicamente su vigencia

Los riesgos cambian. Un KRI o KCI útil hace dos años puede dejar de ser relevante hoy. Por ejemplo, tras la digitalización de comprobantes, ciertos controles manuales perdieron relevancia y surgieron nuevos riesgos vinculados a accesos, perfiles, ciberseguridad y trazabilidad de aprobaciones.

Principales KRI y KCI por áreas de la empresa

A continuación, presentamos ejemplos aplicables a la realidad empresarial peruana.

Tabla de ejemplos de KRI y KCI

Relación entre KRI, KCI y el marco de control interno

Los KRI y KCI no reemplazan un sistema de control interno; lo complementan y lo vuelven medible. En la práctica, estos indicadores se integran muy bien con enfoques como COSO, porque permiten monitorear la operación real de los controles y la evolución de los riesgos.

Desde auditoría financiera, estos indicadores también apoyan la evaluación del riesgo de incorrección material y la confiabilidad de los procesos. La NIA 315 - Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y su entorno exige comprender el sistema de control interno de la entidad. A su vez, la NIA 330 - Respuestas del auditor a los riesgos valorados requiere diseñar procedimientos en función de dichos riesgos. Si la empresa dispone de KRI y KCI bien estructurados, la gerencia y los auditores cuentan con mejor evidencia para focalizar revisiones y fortalecer áreas vulnerables.

Asimismo, cuando se detectan deficiencias, la NIA 265 - Comunicación de las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad cobra especial relevancia, ya que las observaciones pueden sustentarse con indicadores objetivos y no solo con hallazgos aislados.

Ejemplo práctico: empresa comercial peruana

Una empresa distribuidora de productos de consumo masivo en Trujillo registraba frecuentes diferencias entre el stock físico y el sistema, además de reclamos por despachos incompletos. Aunque existían procedimientos de almacén, la gerencia no contaba con métricas para evaluar si los controles funcionaban.

Situación detectada

• Diferencias recurrentes en inventarios.
• Despachos preparados con presión operativa al cierre de mes.
• Escasa supervisión de conteos cíclicos.

KRI implementados

• % de diferencia entre inventario físico y kardex valorizado.
• Número de reclamos de clientes por faltantes de mercadería.
• % de despachos realizados fuera del horario regular.

KCI implementados

• % de conteos cíclicos ejecutados según cronograma.
• % de guías de remisión con validación de picking y despacho.
• % de ajustes de inventario aprobados por jefatura.

Resultado

En cuatro meses, la empresa redujo las diferencias de inventario de 3.8% a 1.1% y disminuyó en 40% los reclamos por faltantes. Más importante aún, la gerencia pudo identificar que el problema no era solo operativo, sino también de supervisión y disciplina en la ejecución de controles.

Ejemplo práctico: ONG con fondos de cooperación

Una ONG en Lima que ejecutaba proyectos financiados por cooperación internacional enfrentaba observaciones recurrentes por gastos sin sustento completo y rendiciones fuera de plazo. Aunque el equipo administrativo conocía las exigencias del donante, no existía un tablero de control que permitiera anticipar incumplimientos.

KRI implementados

• % de expedientes pendientes de rendición por más de 30 días.
• Número de gastos observados por proyecto.
• % de anticipos no regularizados dentro del plazo interno.

KCI implementados

• % de rendiciones revisadas antes de su envío al donante.
• % de comprobantes con validación tributaria y presupuestal.
• % de conciliaciones mensuales entre ejecución financiera y presupuesto del proyecto.

Resultado

La ONG logró reducir observaciones del donante, mejorar la oportunidad de sus reportes y fortalecer la rendición de cuentas ante su consejo directivo. En este tipo de entidades, donde la confianza y la transparencia son esenciales, medir controles no solo protege recursos, sino también reputación institucional.

Cómo reportar KRI y KCI a la gerencia y al directorio

Un error común es preparar reportes demasiado técnicos o extensos, que terminan sin ser revisados. La clave está en presentar la información de forma ejecutiva, comparativa y accionable.

Buenas prácticas de reporte

• Mostrar tendencia mensual o trimestral.
• Comparar resultado real versus meta.
• Usar semáforos y comentarios breves.
• Identificar causa raíz de desviaciones significativas.
• Asignar responsables y fechas de acción correctiva.

Por ejemplo, si el KCI de conciliaciones bancarias cae a 82%, el reporte no debe limitarse a mostrar el dato. Debe explicar por qué ocurrió, qué cuentas están pendientes, qué riesgo genera y qué medidas se adoptarán para regularizar la situación.

Errores frecuentes al implementar KRI y KCI

Confundir volumen de datos con información útil

Tener muchos indicadores no significa tener mejor control. Lo recomendable es priorizar los indicadores realmente críticos.

Diseñar indicadores sin relación con riesgos relevantes

Si el indicador no ayuda a gestionar una exposición importante, probablemente solo agregará carga administrativa.

No definir responsables

Todo KRI y KCI debe tener un dueño. Sin responsable, no hay seguimiento ni mejora.

No actualizar umbrales

Las tolerancias deben revisarse según cambios del negocio, crecimiento, nuevas regulaciones o cambios tecnológicos.

Usar indicadores que no generan acción

Si un indicador no conduce a decisiones concretas, debe reformularse o eliminarse.

Vinculación con cumplimiento legal y tributario en Perú

En Perú, medir la efectividad del control interno también contribuye al cumplimiento de obligaciones formales y sustanciales. Por ejemplo, controles débiles en compras, planillas o tesorería pueden derivar en reparos tributarios, contingencias laborales o cuestionamientos sobre la fehaciencia de operaciones.

Desde el punto de vista documental y contable, el artículo 65 del Texto Único Ordenado del Código Tributario, aprobado por Decreto Supremo N.° 133-2013-EF, regula la obligación de llevar libros y registros, mientras que el artículo 87 del mismo cuerpo normativo establece obligaciones de los administrados, incluyendo facilitar las labores de fiscalización y exhibir documentación. En la práctica, un sistema de indicadores bien diseñado ayuda a verificar que la empresa conserve soporte suficiente, ejecute revisiones oportunas y reduzca riesgos de incumplimiento.

Asimismo, en materia societaria, la Ley General de Sociedades, Ley N.° 26887, establece en su artículo 190 la responsabilidad del directorio sobre la marcha de la sociedad, y en su artículo 221 regula la formulación de los estados financieros. Aunque la ley no exige expresamente KRI o KCI, sí refuerza la necesidad de una supervisión diligente y de información confiable para la toma de decisiones.

Recomendaciones finales para implementar un sistema efectivo de KRI y KCI

• Empiece por los procesos de mayor riesgo: tesorería, compras, inventarios, planillas y cumplimiento tributario.
• Limite el número inicial de indicadores a los más críticos.
• Defina fórmulas, responsables, periodicidad y umbrales.
• Automatice la captura de datos cuando sea posible.
• Integre los indicadores en reuniones de gerencia y comités.
• Use los resultados para acciones correctivas, no solo para reportar.
• Revise periódicamente si los indicadores siguen siendo relevantes.
• Coordine su diseño con auditoría interna, contabilidad, finanzas y operaciones.

Conclusión

Los Indicadores Clave de Riesgo (KRI) y los Indicadores Clave de Control (KCI) son herramientas fundamentales para medir la efectividad del control interno con criterios objetivos. Mientras los KRI alertan sobre el aumento de la exposición al riesgo, los KCI muestran si los controles realmente funcionan. Juntos, permiten a la gerencia anticiparse a problemas, priorizar recursos, sustentar decisiones y fortalecer la gobernanza.

En el contexto peruano, su implementación resulta especialmente valiosa para enfrentar fiscalizaciones, exigencias de donantes, revisiones de auditoría y desafíos operativos propios de empresas y ONGs. No se trata de medir por medir, sino de construir un sistema de monitoreo práctico, relevante y alineado con los riesgos reales del negocio.

Si su organización necesita diseñar o fortalecer indicadores para evaluar su control interno, en Carlos Lingan & Asociados S.C. podemos ayudarle con un enfoque técnico, práctico y adaptado a la realidad peruana. Para consultas, escríbanos a auditor@carloslingan.pe.