Marco jurídico, gobernanza y responsabilidad
Competencia, atribución de decisiones y rendición de cuentas dentro del SCI.
1. Mapa normativo y ámbitos de aplicación
La Ley 8292 regula criterios básicos del SCI, responsabilidades, riesgo y auditoría interna en su ámbito. La CGR emite normativa técnica con base en sus competencias. El procedimiento institucional concreta la operación y no puede alterar por sí mismo una competencia o una exigencia superior. Las normas de sujetos privados custodios o administradores de fondos públicos requieren examinar su régimen específico: no se extiende indistintamente cada disposición del sector público.
Una matriz normativa relaciona instrumento, disposición, supuesto, responsable, evidencia y proceso afectado. Para recepción de informes, identifica destinatario y artículo; para información, las exigencias de calidad y comunicación; para riesgo, objetivos, metodología y responsabilidades. De esa matriz derivan controles y alertas de actualización. La referencia debe permitir verificar la afirmación, no limitarse a un enlace a la página de inicio de una institución.
2. Decidir, ejecutar, supervisar y evaluar
La administración activa dirige y opera los procesos. El jerarca atiende decisiones de su nivel; los titulares responden por sus procesos; el personal ejecuta responsabilidades asignadas y comunica incidencias. Las funciones de riesgo, planificación o cumplimiento apoyan y contrastan según sus competencias. Auditoría aporta evaluación independiente y servicios dentro de su ámbito. La coordinación no exige que todos aprueben cada operación.
El modelo de Tres Líneas del IIA es una referencia comparativa de roles. Sus documentos de posición fueron actualizados en julio de 2026. Se utiliza para analizar relaciones y aseguramiento, conservando la distribución legal costarricense. Un esquema internacional no redefine las potestades de un jerarca ni vuelve independiente una revisión realizada por quien operó la decisión examinada.
3. Comité de Auditoría
La norma 2.7 de las NCI incorpora una instancia técnica de asesoría estratégica al jerarca. Su criterio es no vinculante y su función no consiste en operar procesos, supervisar directamente ni aprobar los productos de auditoría interna. Esta última distinción evita confundir la función asesora del Comité con la independencia y competencias propias de auditoría.
La norma 2.7.1 consultada establece el umbral de activos de 50.560.000 unidades de desarrollo, con las condiciones de valoración y verificación anual allí definidas. También contempla adaptación de instancias equivalentes, continuidad y posibles ajustes por la CGR. Para resolver la obligación en una institución deben consultarse el umbral y las reglas completas, incluidos régimen sectorial, constitución, plazos y funcionamiento de 2.7.1 a 2.7.6. El monto en unidades de desarrollo no se convierte a colones utilizando una tasa de cualquier fecha.
El análisis técnico del Comité puede identificar concentraciones de riesgo, obstáculos críticos y coherencia entre decisiones y controles. Debe dejar trazabilidad de sus recomendaciones y resultados. No absorbe las responsabilidades del jerarca, de las unidades gestoras ni de auditoría interna.
4. Delegación y contratación de apoyo
Documenta autoridad, alcance, límites, información y supervisión. Si se contrata un servicio de archivo, el acuerdo debe permitir comprobar trazabilidad, acceso, incidencias y recuperación; un certificado del proveedor no demuestra todas las condiciones de operación. Analiza terceros críticos, dependencia, continuidad y salida de la relación. La contratación no elimina las implicaciones institucionales del artículo 11.
5. Responsabilidad: razonamiento y límites
Distingue debilidad, incumplimiento y responsabilidad individual. El análisis exige deber aplicable, conducta y evidencia; las causales y sanciones deben tramitarse por la autoridad y procedimiento correspondientes. Los artículos 39 a 41 contienen reglas de responsabilidad y sanciones; su mera cita no acredita la conducta de una persona ni sustituye garantías.
6. Ejemplo resuelto
Una jefatura delegó la revisión de cuentas bancarias a una persona sin acceso al registro de cambios y luego declaró el control efectivo. Hay una brecha de diseño y capacidad: la tarea no puede cumplirse con los medios disponibles. La respuesta inmediata examina cambios expuestos, restituye una revisión competente y registra excepciones. La respuesta estructural ajusta autoridad, accesos y supervisión. Para atribuir responsabilidad se requiere un análisis separado del deber y la conducta.
Fuentes: Ley 8292, artículos 1 a 4, 10 a 12 y 39 a 41; NCI, 1.4 a 1.8 y 2.7; IIA, documentos de posición vigentes sobre Tres Líneas.