Diseñar una actividad de control
Especificar un control que otra persona pueda ejecutar y comprobar.
La idea que vas a usar
Las actividades de control son políticas, procedimientos y mecanismos orientados al logro de objetivos. Para analizarlas en este curso, describe riesgo, responsable, acción, frecuencia, evidencia y tratamiento de excepciones. Fuente primaria.
Ubicar el control en el proceso
Un control preventivo actúa antes del evento que pretende evitar; uno detectivo ayuda a reconocer un evento o una desviación; una respuesta correctiva atiende sus efectos y condiciones. La clasificación depende del riesgo observado. Una conciliación posterior puede detectar un registro equivocado y prevenir que se repita en un reporte siguiente.
Define además si actúa una persona, un mecanismo automatizado o una combinación. Una validación automática puede impedir guardar un campo vacío, pero no garantiza que su contenido sea verdadero. Un registro informático necesita criterios de acceso, cambios y recuperación para que sus resultados sean confiables.
Una especificación ejecutable
En el ejercicio de archivo, escribe quién recibe, qué contrasta, cuándo, con qué evidencia y qué hace si encuentra diferencias. «El receptor compara identificador y cantidad antes de aceptar la entrega, registra fecha y comunica cualquier diferencia a la jefatura» permite ejecutar una tarea. Añade cómo se atiende la excepción y cómo se comprueba su resolución.
La separación de funciones ayuda a evitar que una persona controle toda una operación sin contraste. Cuando el tamaño del equipo limita la separación, estudia medidas compensatorias viables: revisión de excepciones por alguien con autoridad, trazabilidad y contrastes periódicos. No declares equivalencia automática: analiza qué exposición queda.
Segundo caso resuelto: equipos portátiles
Propuesta ficticia: al prestar un portátil, se contrasta identificación del bien y persona receptora y se registra devolución esperada. Como detección, se revisan préstamos vencidos. Si un equipo no vuelve, se inicia la gestión prevista y se conserva la incidencia. Una lista de préstamos sin revisión posterior deja abierta una pregunta: quién detecta y atiende lo vencido.
Para probar el diseño, simula un préstamo correcto, uno con identificador equivocado y uno vencido. Si el procedimiento no indica cómo actuar en los últimos dos, todavía necesita completarse. Después prueba operaciones reales autorizadas y conserva evidencia del resultado. Diseñar, implantar y comprobar el control son pasos relacionados, con productos diferentes.
Fundamento y ampliación: Normas de control interno, 2.5.3 y capítulo IV. Los ejemplos y métodos de trabajo de esta sección son propuestas didácticas.
Arquitectura de controles y dependencias tecnológicas
Asigna un identificador a cada control y conserva objetivo, riesgo, responsable, frecuencia, criterio, información utilizada, evidencia y respuesta a excepciones. Distingue controles clave para la exposición de actividades administrativas que no verifican nada por sí mismas. Un reporte, una reunión o una firma pueden ser insumos o evidencia; hay que explicar qué comparación o decisión realizan.
La automatización cambia el modo de falla. Una regla puede aplicarse consistentemente y estar mal configurada; un usuario privilegiado puede eludirla; una interfaz puede perder transacciones. Examina accesos, cambios y operación tecnológica que sustentan el control de aplicación. Prueba casos válidos, inválidos, límites, duplicados y excepciones autorizadas.
Autorización y revisión
La autoridad debe corresponder a la decisión y estar disponible cuando se requiere. Una aprobación posterior al pago no es preventiva respecto de ese pago. La revisión necesita información suficiente y un criterio que permita identificar diferencias; una firma obtenida sin análisis no conserva automáticamente el mismo efecto del control diseñado.
Caso analítico
Una aplicación bloquea pagos superiores al límite por transacción, pero permite dividir una misma obligación en varios pagos menores. Si el riesgo incluye elusión por fraccionamiento, la regla inicial es insuficiente. Analiza la agregación por obligación, proveedor y periodo con los criterios jurídicos aplicables, y define cómo tratar una coincidencia antes de concluir que es irregular.
Practica antes de abrir la respuesta
Redacta un control preventivo y otro detectivo para el extravío. Justifica cuándo actúa cada uno y qué excepción debe activar una respuesta.
Comparar con una respuesta razonada
Preventivo: registrar entrega y recepción antes de trasladar el expediente. Detectivo: contrastar semanalmente una muestra del registro con ubicación física. Si falta un expediente, registrar la incidencia, buscarlo y escalar según el procedimiento. Es una propuesta para discusión, no una prescripción universal de frecuencia.
Revisa si tu respuesta identifica el objetivo, utiliza evidencia y declara sus supuestos. Las alternativas justificadas también pueden ser válidas.
Explicación del análisis
Respuesta: La cobertura y agregación del control. La regla puede aplicar consistentemente y no cubrir el escenario de división. Examina el criterio y sus condiciones.
Aplicación a un caso nuevo
Explicación de la aplicación
Respuesta: El control tiene alcance limitado. El control verifica presencia, no necesariamente veracidad. Hay que diseñar contrastes adecuados al riesgo.
Lectura primaria recomendada
Normas de control interno: texto con reformas de 2026. Normas 4.1 y 4.2; compara tu propuesta con sus requisitos.
Edición normativa de consulta: 2 de noviembre de 2026. Conserva número, versión y fecha al citar una obligación. Consulta el alcance de las fuentes.