Esquema de líneas de defensa

El esquema de líneas de defensa es la forma en que el MECI, dentro de la dimensión de Control Interno del MIPG, reparte las responsabilidades de control en una entidad. El Manual Operativo lo construye adaptando el modelo de líneas del Instituto de Auditores Internos (IIA): una línea estratégica y tres líneas operativas, cada una con un papel distinto frente al riesgo y al control.

La línea estratégica —alta dirección y comité institucional de coordinación de control interno— define los lineamientos de la estructura de control y hace seguimiento a lo que importa. La primera línea son los dueños de los procesos: quienes ejecutan los controles en el día a día, porque el control vive donde vive el trabajo. La segunda línea supervisa: planeación, gestión del riesgo, supervisores que monitorean que los controles de la primera existan y funcionen. La tercera es la auditoría interna, que evalúa todo lo anterior con independencia.

En la práctica, el esquema responde una pregunta que las auditorías hacen siempre: ¿quién responde por este control? Si la respuesta es «la oficina de control interno», el esquema está roto — la tercera línea no ejecuta controles; los evalúa. Cada control del mapa de riesgos debe tener un dueño en la primera línea, un supervisor en la segunda y evidencia que la tercera pueda examinar.

El error frecuente es exactamente ese desbalance: entidades donde la única línea activa es la tercera, que audita una operación sin controles propios, y cada informe de auditoría repite los mismos hallazgos porque nadie en la primera línea tiene el control asignado como parte de su proceso.

En una plataforma de procesos, las líneas se vuelven operativas: los controles de la primera línea son actividades y reglas dentro del proceso, con registro de ejecución; la segunda línea monitorea indicadores y alertas sobre la operación real; y la tercera consulta la evidencia — quién ejecutó qué control, cuándo, sobre qué caso — en el registro de auditoría, sin pedirle a nadie que la reconstruya.