Controles blandos: la frontera invisible del riesgo organizacional

Cuando la cultura debilita incluso al mejor sistema de control

Durante años, las organizaciones han fortalecido sus sistemas de control interno mediante políticas robustas, matrices de riesgos detalladas, segregación de funciones y plataformas tecnológicas cada vez más sofisticadas. Sobre el papel, todo parece bajo control.

Sin embargo, los incidentes continúan ocurriendo.

Fraudes que nadie anticipó.
Errores críticos a pesar de controles formales bien diseñados.
Decisiones que contradicen manuales, códigos y procedimientos aprobados.

En la mayoría de estos casos, la causa no es técnica. Es cultural.

Aquí emerge una dimensión del riesgo que rara vez se refleja en diagramas o flujogramas: los controles blandos.

¿Qué son los controles blandos y por qué hoy son críticos?

Los controles blandos no se programan ni se documentan como un procedimiento estándar. Se manifiestan en el comportamiento diario, en los mensajes implícitos de la organización y en la forma en que las personas toman decisiones bajo presión.

Se reflejan, por ejemplo, en el tono ético real del liderazgo y en cómo este se ejerce cuando hay presión por resultados. También se evidencian en la reacción institucional ante errores: si se analizan para aprender o si se castigan para ocultar. La coherencia o incoherencia entre los valores declarados y las prácticas reales es otro indicador clave, así como el nivel de apertura para reportar irregularidades sin temor a represalias.

A esto se suma la forma en que se gestiona la presión por desempeño y resultados, especialmente cuando los incentivos empujan a priorizar el corto plazo por encima del control y la sostenibilidad.

Se les denomina “blandos” porque son difíciles de medir; sin embargo, su impacto es profundamente estructural. Cuando fallan, los controles formales dejan de operar como se espera, aun cuando estén correctamente diseñados.

El mayor riesgo no es la ausencia del control, sino su neutralización cultural

En la práctica de la auditoría interna moderna, es cada vez más frecuente encontrar controles que existen, pero que han sido neutralizados por la cultura organizacional.

Esto ocurre cuando revisiones clave se firman sin haberse ejecutado realmente, cuando las alertas del sistema se ignoran porque “siempre saltan”, o cuando ciertos procedimientos se omiten sistemáticamente para no retrasar cierres o resultados. También se observa cuando los códigos de ética y las políticas de cumplimiento se activan únicamente ante auditorías externas, pero no guían la operación diaria.

En estos escenarios, el problema no es el diseño del control.
El mensaje cultural es claro: cumplir es opcional.

Ese mensaje, por sí solo, constituye un riesgo crítico que impacta la calidad de las decisiones, la confiabilidad de la información y la sostenibilidad del negocio.

Gobernanza que se vive, no que solo se declara

Las mejores prácticas actuales en auditoría interna y gobierno corporativo refuerzan una idea central: la gobernanza efectiva no se limita a estructuras formales, sino que se evidencia en cómo se toman decisiones y cómo se comportan las personas.

Por ello, el rol del auditor interno ha evolucionado. Ya no basta con confirmar la existencia de políticas, controles documentados o sistemas implementados. Hoy resulta indispensable evaluar si esos controles se utilizan realmente, si la cultura los refuerza o los debilita, y si las personas confían en ellos o buscan evitarlos.

Auditar gobernanza implica, inevitablemente, auditar conducta organizacional.

Señales tempranas de controles blandos débiles

Existen patrones culturales que suelen anticipar fallas mayores y que el auditor puede identificar con relativa claridad.

Uno de ellos es el silencio organizacional, donde nadie cuestiona ni alerta, aun cuando los riesgos son evidentes. Otro es la normalización del atajo, reflejada en frases como “aquí siempre se ha hecho así”. También es frecuente encontrar liderazgos inconsistentes, que predican ética y control, pero premian únicamente el resultado, incluso cuando se alcanzó de forma cuestionable.

A esto se suma el miedo al error, que lleva a castigar el problema en lugar de analizar su causa, y la dependencia ciega de la tecnología, bajo la falsa premisa de que el sistema controla por sí solo.

Estas señales rara vez aparecen en los reportes formales, pero explican mejor muchos incidentes que cualquier indicador cuantitativo.

¿Cómo puede la auditoría interna evaluar controles blandos?

Evaluar controles blandos no significa auditar personas, sino entender el entorno en el que operan los controles.

Esto puede lograrse mediante entrevistas estructuradas enfocadas en dilemas reales y no en respuestas “correctas”, así como a través de la observación directa en comités, reuniones y procesos críticos. El análisis de incentivos resulta clave para entender qué se recompensa y qué se sanciona realmente, más allá de lo que indican las políticas.

Las encuestas de percepción ética y de control, junto con la revisión de decisiones pasadas y no solo de procedimientos vigentes, permiten identificar brechas entre los valores declarados y las conductas reales.

El objetivo no es etiquetar culturas como buenas o malas, sino generar conciencia y bases objetivas para su fortalecimiento.

La cultura como primera línea de defensa

Las organizaciones con mayor madurez en gestión de riesgos comparten una característica esencial: no dependen exclusivamente de controles formales.

Cuando existe coherencia, liderazgo ejemplar, comunicación abierta y responsabilidad compartida, la cultura actúa como un control preventivo natural. En estos entornos, los riesgos se detectan antes, se corrigen con mayor rapidez y no requieren ser impuestos por auditoría.

Así, la auditoría interna deja de ser percibida como un vigilante y se consolida como aliado estratégico del sistema de control.

Conclusión: el riesgo del futuro será cada vez más humano

Los riesgos emergentes tecnológicos, reputacionales, éticos y ESG tienen un denominador común: dependen de decisiones humanas.

Por ello, la auditoría interna que aspire a seguir siendo relevante debe ampliar su enfoque, pasando de controles exclusivamente técnicos a controles conductuales, del cumplimiento formal a la madurez cultural, y de los procesos a las personas.

El verdadero desafío no es documentar más controles, sino construir culturas que los sostengan de forma natural.

Porque, al final, no importa cuán sofisticado sea el sistema:
si la cultura no lo respalda, el control no existe.

Jorge Gutiérrez Guillén, CPA
Socio Fundador | JGutierrez Auditores Consultores S.A.
Costa Rica | 🌐 consultoresjg.com
+506 2552-5433 |+506 8811-5090
[email protected]

#GestiónDeRiesgos #AuditoríaEstratégica #GobiernoCorporativo #ControlInterno #JGutierrezAuditore