Modelo de Carta de Control Interno a la Gerencia: Estructura de hallazgos y recomendaciones
Conozca cómo elaborar una Carta de Control Interno a la Gerencia con una estructura clara de hallazgos, riesgos, causas, efectos y recomendaciones, aplicada a empresas y ONGs en Perú.
¿Qué es una Carta de Control Interno a la Gerencia?
La Carta de Control Interno a la Gerencia, también conocida como carta de recomendaciones o carta de observaciones, es un documento emitido por el auditor al término de su evaluación, mediante el cual comunica deficiencias de control interno identificadas durante el trabajo y propone acciones de mejora concretas.
En la práctica peruana, este documento es especialmente útil en auditorías financieras, revisiones especiales, auditorías a ONGs, empresas familiares, asociaciones, cooperativas y entidades que manejan fondos de terceros. No reemplaza al dictamen de auditoría sobre los estados financieros, sino que lo complementa al enfocarse en los procesos, riesgos y controles.
Desde el punto de vista técnico, la comunicación de deficiencias de control interno se encuentra alineada con la NIA 265 - Comunicar las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad. Asimismo, su elaboración guarda relación con la NIA 315 - Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno y la NIA 330 - Respuestas del auditor a los riesgos valorados.
Para la gerencia, una buena carta no debe ser vista como una lista de errores, sino como una herramienta de gestión. Bien redactada, permite priorizar riesgos, corregir prácticas débiles, reducir pérdidas, mejorar el cumplimiento tributario y fortalecer la confiabilidad de la información financiera.
¿Por qué es importante una Carta de Control Interno?
Muchas organizaciones en Perú cuentan con procedimientos informales que funcionan mientras el negocio es pequeño, pero que se vuelven insuficientes cuando aumentan las ventas, el personal, el número de sedes o el volumen de operaciones. Allí es donde la Carta de Control Interno cobra valor.
Por ejemplo, una empresa comercial de Chiclayo puede vender mensualmente más de S/ 300,000 y seguir operando con aprobaciones verbales, conciliaciones bancarias atrasadas y acceso compartido al sistema contable. Aunque no exista un fraude detectado, esas condiciones elevan el riesgo de errores, pagos indebidos o contingencias tributarias ante SUNAT.
En una ONG que administra convenios de cooperación internacional, una debilidad en la rendición documentaria o en la segregación de funciones puede derivar en observaciones del financiador, gastos no elegibles o incluso la obligación de devolver fondos. Por ello, la carta ayuda a traducir riesgos operativos en decisiones concretas de mejora.
Beneficios principales
- Fortalece el ambiente de control y la supervisión gerencial.
- Permite corregir deficiencias antes de que generen pérdidas económicas.
- Reduce riesgos de fraude, error e incumplimiento tributario o laboral.
- Mejora la calidad de los registros contables y de los estados financieros.
- Facilita el seguimiento de responsables y plazos de implementación.
- Genera evidencia de mejora continua ante directorios, donantes, bancos o inversionistas.
Base técnica y normativa aplicable
La Carta de Control Interno no surge de manera aislada. Su sustento se encuentra en normas de auditoría y, dependiendo del tipo de entidad, en disposiciones legales y regulatorias peruanas.
Normas de auditoría relevantes
| Norma | Nombre oficial | Aplicación en la carta |
|---|---|---|
| NIA 265 | Comunicar las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad | Base principal para comunicar hallazgos significativos y recomendaciones. |
| NIA 315 | Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno | Ayuda a entender procesos, riesgos y controles existentes. |
| NIA 330 | Respuestas del auditor a los riesgos valorados | Relaciona las pruebas aplicadas con los riesgos detectados. |
| NIA 230 | Documentación de auditoría | Exige sustento suficiente de los hallazgos comunicados. |
| NIA 240 | Responsabilidades del auditor en la auditoría de estados financieros con respecto al fraude | Relevante cuando la deficiencia incrementa el riesgo de fraude. |
Referencias legales peruanas que suelen vincularse
Dependiendo del hallazgo, la carta puede hacer referencia a obligaciones legales específicas. Algunos ejemplos frecuentes son:
- Código Tributario, aprobado por Decreto Supremo N.° 133-2013-EF: Artículo 87, obligaciones de los administrados, relevante para conservación de libros, registros y documentación sustentatoria.
- Ley del Impuesto a la Renta, Texto Único Ordenado aprobado por Decreto Supremo N.° 179-2004-EF: Artículo 37, causalidad del gasto, útil cuando existen desembolsos sin sustento suficiente.
- Ley del IGV e ISC, TUO aprobado por Decreto Supremo N.° 055-99-EF: Artículo 18, requisitos sustanciales del crédito fiscal, y Artículo 19, requisitos formales.
- Ley General de Sociedades, Ley N.° 26887: Artículo 175, responsabilidad del directorio; y Artículo 190, atribuciones de la gerencia, cuando las debilidades se relacionan con supervisión y administración.
Estas referencias no convierten la carta en un informe legal, pero sí refuerzan la relevancia del hallazgo y su impacto potencial.
Estructura recomendada de una Carta de Control Interno
Una carta efectiva debe ser clara, objetiva, sustentada y accionable. En nuestra experiencia, una estructura ordenada facilita que la gerencia comprenda el problema y tome decisiones.
1. Encabezado y destinatario
Debe dirigirse a la Gerencia General, Directorio, Consejo Directivo o Comité de Auditoría, según corresponda. También debe indicar el periodo evaluado y el tipo de trabajo realizado.
Ejemplo: “Señores miembros del Directorio / Gerencia General de XYZ S.A.C. – Como resultado de nuestra auditoría de los estados financieros por el ejercicio terminado el 31 de diciembre de 2025...”
2. Párrafo introductorio y alcance
En esta sección se aclara que el objetivo principal de la auditoría no fue opinar sobre la efectividad del control interno, sino sobre los estados financieros; sin embargo, durante el trabajo se identificaron deficiencias que merecen ser comunicadas.
Este punto es importante para evitar interpretaciones incorrectas sobre el alcance del informe.
3. Metodología o criterio de evaluación
Es recomendable explicar, de forma breve, que la evaluación se realizó mediante entrevistas, revisión documental, pruebas selectivas, análisis de procesos y validación de controles clave. Esto da contexto y credibilidad a los hallazgos.
4. Desarrollo de hallazgos
Esta es la parte central de la carta. Cada hallazgo debe presentarse con una estructura uniforme para facilitar su análisis y seguimiento.
La estructura más útil incluye:
- Condición: qué se encontró.
- Criterio: qué norma, política o buena práctica debió cumplirse.
- Causa: por qué ocurrió.
- Efecto o riesgo: qué puede pasar o qué impacto genera.
- Recomendación: qué debe hacerse.
- Comentario de la gerencia: respuesta del área responsable.
- Responsable y plazo: quién implementará y cuándo.
5. Cierre y disposición para seguimiento
La carta debe concluir señalando que las recomendaciones buscan contribuir al fortalecimiento de la gestión y que puede realizarse un seguimiento posterior de los compromisos asumidos.
Modelo de estructura de hallazgo y recomendación
A continuación, presentamos un formato práctico que puede utilizarse en una Carta de Control Interno.
| Elemento | Contenido esperado |
|---|---|
| Título del hallazgo | Breve y específico. Ejemplo: “Falta de conciliaciones bancarias oportunas”. |
| Condición | Descripción objetiva del hecho detectado, con datos y evidencias. |
| Criterio | Norma interna, política, contrato, NIA o disposición legal aplicable. |
| Causa | Razón raíz: falta de personal, supervisión insuficiente, sistema deficiente, etc. |
| Efecto / Riesgo | Impacto actual o potencial: errores contables, fraude, multas, pérdida de fondos. |
| Recomendación | Acción concreta, medible y viable. |
| Respuesta de gerencia | Comentario del área involucrada y aceptación del plan de acción. |
| Plazo | Fecha comprometida de implementación. |
Cómo redactar hallazgos sólidos y útiles para la gerencia
Sea específico y cuantifique cuando sea posible
No es lo mismo decir “se observaron retrasos en conciliaciones” que indicar “al 31 de diciembre de 2025, las conciliaciones de las cuentas corrientes del BCP y BBVA correspondientes a octubre, noviembre y diciembre se encontraban pendientes, afectando movimientos por S/ 428,500”.
La cuantificación ayuda a dimensionar el riesgo y facilita la toma de decisiones.
Diferencie entre observación menor y deficiencia significativa
No todas las observaciones tienen el mismo peso. La NIA 265 - Comunicar las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad distingue las deficiencias significativas que merecen especial atención. En la práctica, conviene clasificar los hallazgos por nivel de riesgo: alto, medio o bajo.
Evite recomendaciones genéricas
Una recomendación como “mejorar el control interno” no agrega valor. En cambio, una recomendación útil sería: “Implementar conciliaciones bancarias mensuales dentro de los primeros 10 días hábiles del mes siguiente, revisadas y aprobadas por el contador general, dejando evidencia de dicha revisión”.
Conecte el hallazgo con sus consecuencias reales
La gerencia presta más atención cuando entiende el impacto. Por ejemplo: contingencias ante SUNAT, gastos no deducibles, pérdida de crédito fiscal, observaciones del cooperante, pagos duplicados o diferencias de inventario.
Ejemplo práctico: hallazgo en una empresa comercial peruana
Hallazgo 1: Falta de segregación de funciones en tesorería
Condición: Durante la revisión del ciclo de pagos de una empresa comercial de Trujillo con ventas anuales de S/ 4,500,000, se verificó que una misma persona elaboraba la programación de pagos, registraba las operaciones en el sistema contable y realizaba transferencias bancarias vía banca por internet.
Criterio: Las buenas prácticas de control interno exigen segregación adecuada de funciones incompatibles para reducir el riesgo de error o fraude. Esta evaluación se relaciona con la NIA 315 - Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno.
Causa: Estructura administrativa reducida y ausencia de revisión compensatoria por parte de la gerencia.
Efecto o riesgo: Riesgo de pagos no autorizados, alteración de registros contables y dificultad para detectar operaciones irregulares de manera oportuna.
Recomendación: Separar las funciones de registro contable y ejecución de pagos. En caso no sea posible por tamaño de la empresa, establecer controles compensatorios, como doble aprobación electrónica de transferencias mayores a S/ 5,000 y revisión semanal del reporte de pagos por la gerencia general.
Comentario de gerencia: Se implementará doble autorización bancaria desde el próximo mes y la contabilidad será revisada por el contador externo cada semana.
Plazo: 30 días calendario.
Ejemplo práctico: hallazgo en una ONG
Hallazgo 2: Documentación incompleta de rendiciones de fondos
Condición: En una ONG de Lima que ejecuta proyectos de salud comunitaria financiados por cooperación internacional, se revisó una muestra de 40 rendiciones de caja chica y anticipos. En 9 casos, equivalentes al 22.5% de la muestra, no se adjuntó evidencia suficiente del servicio recibido o la autorización del responsable del proyecto, por un total de S/ 18,760.
Criterio: El Artículo 87 del Código Tributario obliga a conservar documentación sustentatoria. Además, para efectos tributarios, el sustento del gasto se vincula con el Artículo 37 de la Ley del Impuesto a la Renta. Si la organización aplica políticas internas de donantes, estas también constituyen criterio de evaluación.
Causa: Capacitación insuficiente del personal de campo y falta de revisión previa por administración antes del reembolso.
Efecto o riesgo: Riesgo de observaciones del financiador, rechazo de gastos, reparos tributarios y debilitamiento de la trazabilidad del uso de fondos.
Recomendación: Implementar un checklist obligatorio de rendición, capacitar al personal de proyectos cada seis meses y condicionar el reembolso a la validación documentaria completa por administración.
Comentario de gerencia: Se actualizará el formato de rendición y se programará capacitación para coordinadores regionales.
Plazo: 45 días calendario.
Modelo resumido de Carta de Control Interno a la Gerencia
A continuación, se presenta una estructura referencial de redacción:
Modelo base
Señores
Gerencia General
[Nombre de la entidad]
Como resultado de nuestra auditoría de los estados financieros de [nombre de la entidad] por el ejercicio terminado el [fecha], realizada de acuerdo con las Normas Internacionales de Auditoría, hemos considerado el control interno relevante para la preparación y presentación razonable de los estados financieros, con el propósito de diseñar procedimientos de auditoría apropiados en las circunstancias.
Nuestra evaluación no tuvo como finalidad expresar una opinión sobre la efectividad del control interno de la entidad. No obstante, durante el desarrollo de nuestro trabajo identificamos ciertos asuntos que consideramos oportuno comunicar a la Gerencia, en concordancia con la NIA 265 - Comunicar las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad.
Las observaciones descritas a continuación tienen como propósito contribuir al fortalecimiento de los procesos administrativos, contables y financieros de la entidad.
1. [Título del hallazgo]
Condición: ...
Criterio: ...
Causa: ...
Efecto o riesgo: ...
Recomendación: ...
Respuesta de gerencia: ...
Plazo: ...
Sin otro particular, reiteramos nuestra disposición para absolver cualquier consulta relacionada con las observaciones y recomendaciones contenidas en la presente.
Atentamente,
[Firma del auditor]
[Nombre de la firma]
Errores frecuentes al elaborar la carta
| Error frecuente | Consecuencia | Buena práctica |
|---|---|---|
| Redacción ambigua | La gerencia no entiende el problema ni su alcance. | Describir hechos con fechas, montos y evidencia. |
| No citar criterio | El hallazgo parece subjetivo. | Vincularlo a políticas, NIAs o normas legales aplicables. |
| No identificar causa raíz | Se corrige el síntoma, no el problema. | Analizar procesos, supervisión y recursos. |
| Recomendaciones genéricas | No se implementan acciones concretas. | Plantear medidas específicas, responsables y plazos. |
| Exceso de tecnicismo | La carta pierde utilidad práctica para la administración. | Usar lenguaje profesional pero claro. |
| No priorizar riesgos | Todo parece igual de importante. | Clasificar hallazgos por criticidad. |
Recomendaciones para que la carta genere acción real
1. Priorice por nivel de riesgo
Una carta con 20 observaciones sin jerarquía suele terminar archivada. Es preferible distinguir entre hallazgos críticos, importantes y de mejora.
2. Asigne responsables
Si no se define quién implementa la recomendación, el seguimiento se diluye. Debe asignarse un responsable por nombre o por cargo.
3. Defina plazos razonables
No todos los hallazgos se corrigen en 15 días. Un cambio de política puede ser rápido; una mejora de sistema puede requerir 90 días o más.
4. Programe seguimiento
En muchas empresas peruanas, el verdadero valor aparece cuando se revisa trimestralmente el avance de implementación. Esto puede hacerse mediante un cuadro de seguimiento de observaciones.
5. Vincule la mejora con resultados
La gerencia responde mejor cuando entiende que un control no es burocracia, sino protección del negocio: evitar multas, reducir pérdidas, ordenar la tesorería o sostener el crecimiento.
Ejemplo práctico: impacto tributario de una deficiencia de control
Supongamos que una empresa de servicios en Lima registra gastos de movilidad y representación por S/ 72,000 al año sin políticas claras, sin liquidaciones firmadas y sin evidencia consistente del motivo del gasto. Más allá del aspecto administrativo, esta deficiencia puede originar reparos en una fiscalización de SUNAT por falta de sustento o por cuestionamiento de causalidad, con base en el Artículo 37 de la Ley del Impuesto a la Renta.
Si SUNAT repara S/ 30,000 de esos gastos, el efecto no solo sería mayor impuesto a la renta, sino también intereses y eventual exposición a sanciones. En ese contexto, una observación de control interno bien formulada puede prevenir una contingencia económica real y medible.
¿Cuándo conviene emitir una Carta de Control Interno?
Si bien es común al cierre de una auditoría financiera, también resulta conveniente en los siguientes casos:
- Al culminar una auditoría interna o revisión de procesos.
- Después de una revisión de cumplimiento tributario o laboral.
- Antes de una due diligence o búsqueda de financiamiento.
- Cuando una ONG debe reportar mejoras de control a un cooperante.
- Tras detectar incidentes de fraude, faltantes de caja o diferencias de inventario.
En todos estos escenarios, la carta sirve como hoja de ruta para fortalecer la gestión.
Conclusión
La Carta de Control Interno a la Gerencia es mucho más que un documento formal de auditoría. Bien estructurada, se convierte en una herramienta de gestión para identificar debilidades, priorizar riesgos y ejecutar mejoras concretas. La clave está en presentar hallazgos con evidencia, criterio, causa, efecto y recomendaciones viables, siempre en un lenguaje claro y orientado a la acción.
En el contexto peruano, donde las empresas y ONGs enfrentan riesgos operativos, tributarios y de cumplimiento cada vez más exigentes, contar con un modelo sólido de carta puede marcar la diferencia entre una observación archivada y una mejora real del control interno.
Si su organización necesita apoyo para elaborar, revisar o dar seguimiento a una Carta de Control Interno, puede escribirnos a auditor@carloslingan.pe para una consulta especializada.
