Las tres Líneas de Defensa en la Administración de Riesgos ¿Cuál es primero?

Con frecuencia se comenta sobre las tres líneas de defensa que deben tener o implementar las empresas para conseguir efectividad y eficiencia de la administración de riesgos.

Pero, ¿cuál de las líneas de defensa es la que debe garantizarse en primera instancia? Esta es una cuestión de vital importancia, ya que como sabemos, el IIA describe y resume en un modelo estas líneas, aunque únicamente indica el orden que deben tener para hacer frente a los riesgos identificados y los que podrían presentarse en un futuro.

La experiencia indica que la generalidad es que las empresas implementan primero un área de Auditoría Interna y posteriormente una gestión de controles y las medidas de Control Interno, con la finalidad de cumplir con las regulaciones que le apliquen. En otras ocasiones únicamente existe la figura del Director de Auditoría Interna y por cuestiones de economía de costos, subcontratan a un tercero para la Evaluación del Sistema de Control Interno. La 2da línea de defensa pasa a segundo término, e incluso, se olvidan de ésta.

Lo recomendable para conocer qué debe implementarse primero será el crecimiento que tenga la empresa y que regulación le aplique, ya que esto influye en la diversidad de riesgos que amenacen la operatividad de la empresa de forma interna o externamente y que deben ser identificados y mitigados de forma clara y oportuna.