Las Tres Líneas de Defensa: roles de la gerencia, riesgos/compliance y auditoría interna

¿Qué es el Modelo de las Tres Líneas del IIA?

El Modelo de las Tres Líneas del IIA (Institute of Internal Auditors) es un marco de gobierno y control que ayuda a las organizaciones a asignar claramente responsabilidades para gestionar riesgos, mantener controles efectivos y asegurar una supervisión independiente. Aunque muchas empresas todavía lo llaman “modelo de las tres líneas de defensa”, la versión más reciente del IIA pone énfasis en la colaboración entre funciones, no solo en la defensa frente al riesgo.

En términos simples, el modelo responde a una pregunta clave: ¿quién hace qué dentro del sistema de control interno? La respuesta se organiza en tres niveles:

• Primera línea: la gerencia operativa y los responsables de procesos.
• Segunda línea: las funciones de riesgos, cumplimiento, control de calidad, seguridad, ética u otras áreas de supervisión especializada.
• Tercera línea: la auditoría interna, que brinda aseguramiento independiente y objetivo.

En el contexto peruano, este modelo resulta especialmente útil para empresas familiares, medianas empresas, ONGs, cooperativas, asociaciones y compañías con crecimiento acelerado, donde con frecuencia existen solapamientos de funciones, controles informales o poca claridad sobre quién debe prevenir, detectar y reportar riesgos.

¿Por qué el Modelo de las Tres Líneas es importante para el control interno?

Un sistema de control interno efectivo no depende solo de tener políticas escritas o manuales aprobados. Depende de que las personas adecuadas asuman sus responsabilidades y de que exista una separación razonable entre ejecutar, supervisar y evaluar.

Cuando esta estructura no está clara, aparecen problemas frecuentes como:

• La gerencia cree que auditoría interna “es dueña” de los controles.
• El área de compliance detecta incumplimientos, pero no tiene poder para corregirlos.
• Auditoría interna termina diseñando controles, perdiendo independencia.
• El directorio recibe reportes parciales o sesgados.
• Los riesgos tributarios, laborales o operativos se identifican tarde.

Desde una perspectiva de auditoría, este modelo también se alinea con marcos y normas internacionales relevantes, como la NIA 315 – Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y su entorno, que exige comprender el sistema de control interno para evaluar riesgos, y la NIA 265 – Comunicación de las deficiencias en el control interno a los responsables del gobierno y a la dirección, que resalta la importancia de comunicar deficiencias oportunamente.

Las tres líneas de defensa: estructura y responsabilidades

Primera línea: la gerencia y los responsables operativos

La primera línea está conformada por quienes dirigen y ejecutan las operaciones del día a día. Aquí se encuentran gerentes de área, jefes de logística, tesorería, recursos humanos, contabilidad, proyectos, compras, almacén, ventas, tecnología y similares.

Su responsabilidad principal es gestionar los riesgos y mantener controles efectivos en los procesos bajo su cargo. Es decir, no basta con cumplir metas operativas; también deben asegurar que las actividades se desarrollen conforme a políticas, normas internas y regulación aplicable.

Responsabilidades típicas de la primera línea:

• Identificar riesgos operativos, financieros, tributarios, laborales y reputacionales.
• Diseñar y ejecutar controles en sus procesos.
• Segregar funciones críticas.
• Revisar conciliaciones, autorizaciones y sustentos.
• Corregir desviaciones detectadas por monitoreo o supervisión.
• Reportar incidentes y debilidades de control.

Por ejemplo, en una empresa comercial peruana, el jefe de tesorería debe verificar que los pagos a proveedores cuenten con orden de compra, conformidad del servicio y sustento tributario válido. Ese control no corresponde a auditoría interna; corresponde a la operación misma.

Segunda línea: riesgos, compliance y funciones de supervisión especializada

La segunda línea incluye funciones que acompañan, asesoran, monitorean y desafían a la gerencia operativa respecto del manejo de riesgos y cumplimiento. Dependiendo del tamaño de la organización, puede estar compuesta por áreas formales o por responsables designados.

Entre las funciones más comunes de la segunda línea están:

• Gestión de riesgos empresariales.
• Compliance o cumplimiento normativo.
• Prevención de lavado de activos, cuando aplica.
• Seguridad y salud en el trabajo.
• Control de calidad.
• Seguridad de la información.
• Supervisión de protección de datos personales.
• Monitoreo de controles financieros o regulatorios.

Su rol no es ejecutar la operación diaria, sino establecer metodologías, políticas, criterios de control y mecanismos de seguimiento. También deben alertar a la alta dirección cuando existan desviaciones significativas.

En Perú, esta segunda línea suele ser crítica para gestionar riesgos vinculados con obligaciones tributarias, laborales y regulatorias. Por ejemplo, una función de compliance puede monitorear el correcto archivo de comprobantes de pago, la aplicación de detracciones, retenciones y percepciones, o el cumplimiento de obligaciones vinculadas a contratos con el Estado.

Desde el punto de vista legal, esta línea ayuda a prevenir contingencias relacionadas con el Código Tributario, aprobado por Decreto Supremo N.° 133-2013-EF. Por ejemplo, el artículo 87 del Código Tributario establece obligaciones de los administrados, como facilitar las labores de fiscalización, exhibir libros y registros y proporcionar información a la SUNAT. Si la organización no cuenta con controles de cumplimiento, el riesgo de sanciones aumenta significativamente.

Tercera línea: auditoría interna

La tercera línea corresponde a la auditoría interna, cuya función es proporcionar aseguramiento independiente y objetivo sobre la adecuación y eficacia del gobierno corporativo, la gestión de riesgos y el control interno.

A diferencia de la primera línea, auditoría interna no opera controles. A diferencia de la segunda línea, no es dueña de las políticas de cumplimiento ni de la gestión de riesgos. Su valor está en evaluar, con independencia, si las dos primeras líneas están funcionando como deberían.

Este enfoque guarda relación con la NIA 610 – Utilización del trabajo de los auditores internos, que reconoce la importancia de la función de auditoría interna dentro del sistema de control de la entidad, y con la NIA 315, que exige entender cómo la organización monitorea sus controles.

Responsabilidades típicas de auditoría interna:

• Evaluar el diseño y la efectividad operativa de los controles.
• Revisar procesos críticos con enfoque basado en riesgos.
• Emitir informes con hallazgos, causas, efectos y recomendaciones.
• Dar seguimiento a planes de acción.
• Informar al comité de auditoría o directorio sobre deficiencias relevantes.
• Evaluar la coordinación entre primera y segunda línea.

Para preservar su independencia, auditoría interna debe reportar funcionalmente al directorio, comité de auditoría o máximo órgano de gobierno, y no quedar subordinada únicamente a la gerencia que luego audita.

Tabla comparativa: diferencias entre las tres líneas

El papel del directorio o máximo órgano de gobierno

Aunque el modelo se centra en tres líneas, no debe olvidarse que el directorio, consejo directivo o asamblea cumple un papel esencial de supervisión. Su responsabilidad es asegurar que la organización cuente con un sistema de gobierno adecuado, una estructura de rendición de cuentas clara y mecanismos de monitoreo suficientes.

En asociaciones y ONGs peruanas, este rol suele recaer en el consejo directivo. En empresas familiares, muchas veces lo asume el gerente general junto con accionistas. El problema es que, si no existe una visión clara del modelo, la supervisión termina siendo reactiva y basada solo en incidentes.

La alta dirección debe recibir reportes diferenciados:

• De la primera línea: desempeño operativo y ejecución de controles.
• De la segunda línea: mapas de riesgos, alertas de cumplimiento y monitoreo.
• De la tercera línea: evaluaciones independientes y seguimiento de observaciones.

Ejemplo práctico: aplicación en una empresa comercial peruana

Supongamos una empresa de distribución en Lima con ventas anuales de S/ 18 millones y operaciones en varias regiones. La empresa ha crecido rápidamente, pero empieza a sufrir problemas de cobranzas, diferencias de inventario y reparos tributarios por gastos sin sustento suficiente.

Cómo se aplicarían las tres líneas

Primera línea:

• El área comercial valida límites de crédito antes de cerrar ventas.
• Almacén controla ingresos y salidas con documentos autorizados.
• Contabilidad revisa sustentos de gasto y clasifica correctamente las operaciones.
• Tesorería ejecuta pagos solo con aprobación y documentación completa.

Segunda línea:

• Un responsable de riesgos identifica los procesos con mayor exposición: ventas al crédito, inventarios y compras.
• Compliance tributario revisa mensualmente detracciones, comprobantes y contratos con proveedores.
• Se implementan indicadores de alertas por notas de crédito inusuales, diferencias de stock y gastos observables.

Tercera línea:

• Auditoría interna evalúa si los controles existen, si operan y si son suficientes.
• Emite un informe al directorio indicando deficiencias en segregación de funciones y debilidades en sustentación tributaria.
• Da seguimiento al plan de acción con responsables y fechas.

Resultado esperado: reducción de pérdidas por errores operativos, menor exposición a sanciones de SUNAT y mejor calidad de información financiera para la toma de decisiones.

Ejemplo práctico: aplicación en una ONG en Perú

Ahora pensemos en una ONG que administra fondos de cooperación internacional para proyectos educativos y de nutrición en regiones del país. Maneja compras descentralizadas, rendiciones de viáticos y contratación de consultores.

En este tipo de entidades, los riesgos más frecuentes incluyen:

• Uso inadecuado de fondos restringidos.
• Rendiciones incompletas o tardías.
• Pagos a consultores sin términos de referencia claros.
• Debilidades en archivo documentario para auditorías de donantes.
• Incumplimientos laborales o tributarios en personal y terceros.

Aplicación del modelo

Primera línea: coordinadores de proyecto, administración y tesorería ejecutan controles sobre presupuestos, rendiciones, conformidades y contratos.

Segunda línea: un área de cumplimiento o control de proyectos revisa que los gastos se ajusten a convenios, políticas del donante y normativa peruana.

Tercera línea: auditoría interna evalúa si los fondos se usan conforme a objetivos, si la documentación es suficiente y si los controles funcionan en sedes descentralizadas.

Este enfoque también ayuda a preparar mejor la información para auditorías externas bajo la NIA 200 – Objetivos globales del auditor independiente y realización de la auditoría de conformidad con las Normas Internacionales de Auditoría y la NIA 500 – Evidencia de auditoría, ya que una estructura de control ordenada facilita obtener evidencia suficiente y adecuada.

Errores comunes al implementar las tres líneas de defensa

1. Creer que auditoría interna es responsable de los controles

Este es uno de los errores más frecuentes. La gerencia es la dueña de los procesos y de sus controles. Auditoría interna solo evalúa.

2. Confundir compliance con auditoría interna

Compliance monitorea y asesora sobre cumplimiento. Auditoría interna revisa de forma independiente si compliance y la gerencia están funcionando adecuadamente.

3. No documentar responsabilidades

Si no existen manuales, matrices RACI, políticas o descripciones de puesto claras, el modelo queda en teoría. La práctica exige definir responsables, aprobadores y revisores.

4. Falta de independencia de auditoría interna

Si auditoría interna reporta solo al gerente financiero o al gerente general sin acceso al directorio, su objetividad puede verse afectada, especialmente al revisar áreas sensibles.

5. Exceso de controles sin enfoque de riesgo

Muchas organizaciones implementan demasiados controles operativos, pero descuidan los riesgos realmente críticos. El resultado es burocracia, no control efectivo.

Tabla comparativa: qué sí y qué no debe hacer cada línea

Relación con NIIF y control interno financiero

Aunque el Modelo de las Tres Líneas no es una NIIF, su aplicación fortalece la calidad de la información financiera preparada bajo estándares internacionales. Por ejemplo:

• La NIC 1 – Presentación de Estados Financieros exige que los estados financieros representen razonablemente la situación financiera, el rendimiento y los flujos de efectivo.
• La NIC 8 – Políticas Contables, Cambios en las Estimaciones Contables y Errores exige tratamiento adecuado de errores y consistencia en políticas.
• La NIIF 15 – Ingresos de Actividades Ordinarias procedentes de Contratos con Clientes requiere criterios adecuados para reconocimiento de ingresos.

Sin una primera línea disciplinada, una segunda línea vigilante y una tercera línea independiente, es más probable que existan errores contables, omisiones de revelación o contingencias no detectadas oportunamente.

Aspectos legales y regulatorios relevantes en Perú

El modelo también ayuda a enfrentar obligaciones legales concretas. Por ejemplo:

• El artículo 175 del Código Tributario regula infracciones relacionadas con libros y registros contables.
• El artículo 177 del Código Tributario regula infracciones vinculadas a no exhibir libros, registros u otros documentos requeridos por la administración tributaria.
• La Ley N.° 29783, Ley de Seguridad y Salud en el Trabajo, en su artículo 49, establece obligaciones del empleador en materia de prevención y protección de la seguridad y salud de los trabajadores.

Una segunda línea sólida puede monitorear estas obligaciones, mientras que auditoría interna puede verificar si realmente se están cumpliendo y si la evidencia es suficiente ante una fiscalización o inspección.

¿Cómo implementar el Modelo de las Tres Líneas en una organización peruana?

1. Mapear procesos y riesgos clave

Identifique procesos críticos: compras, tesorería, ventas, planillas, inventarios, proyectos, TI, tributación y contrataciones.

2. Definir responsables por línea

Asigne claramente quién opera, quién supervisa y quién evalúa.

3. Documentar políticas y controles

Use manuales, matrices de riesgo, flujogramas y descripciones de puesto.

4. Fortalecer reportes a la alta dirección

El directorio o consejo debe recibir información diferenciada y periódica.

5. Asegurar independencia de auditoría interna

Auditoría interna debe tener acceso directo al máximo órgano de gobierno.

6. Revisar periódicamente la eficacia del modelo

El crecimiento de la organización, la apertura de nuevas sedes o cambios regulatorios pueden exigir ajustes.

Beneficios concretos del modelo

• Mayor claridad de responsabilidades.
• Mejor prevención de fraude y errores.
• Reducción de contingencias tributarias y laborales.
• Mejor preparación para auditorías externas y fiscalizaciones.
• Información financiera más confiable.
• Mayor confianza de donantes, inversionistas, bancos y directorio.

Conclusión

El Modelo de las Tres Líneas del IIA no es una formalidad teórica ni una moda de gobierno corporativo. Es una herramienta práctica para ordenar responsabilidades, fortalecer el control interno y mejorar la toma de decisiones. La gerencia debe gestionar riesgos y ejecutar controles; riesgos/compliance debe monitorear, orientar y alertar; y auditoría interna debe evaluar con independencia si todo el sistema funciona de manera efectiva.

En el entorno peruano, donde las organizaciones enfrentan riesgos operativos, tributarios, laborales y reputacionales cada vez más complejos, aplicar correctamente este modelo puede marcar la diferencia entre una gestión reactiva y una gestión realmente sólida.

Si su empresa, ONG o institución desea fortalecer su sistema de control interno, definir adecuadamente sus líneas de defensa o evaluar la independencia y efectividad de su auditoría interna, en Carlos Lingan & Asociados S.C. podemos ayudarle. Para consultas, escríbanos a auditor@carloslingan.pe.