MECI — Modelo Estándar de Control Interno

El Modelo Estándar de Control Interno es el modelo con que las entidades públicas colombianas estructuran su sistema de control interno: el conjunto de esquemas, planes, métodos, principios, normas, procedimientos y mecanismos de verificación y evaluación —así lo define el artículo 1 de la Ley 87 de 1993— adoptados para que las actividades y la administración de la información y los recursos se realicen conforme a la ley y a las políticas de la dirección.

Su lugar institucional cambió en 2017 y conviene citarlo bien: el MECI está integrado al MIPG como su séptima dimensión, Control Interno, y el artículo 2.2.23.2 del Decreto 1499 de 2017 dispone que su actualización se efectúa a través del Manual Operativo del MIPG, de obligatorio cumplimiento. Ya no hay dos sistemas paralelos con dos reportes: hay un modelo de gestión con una dimensión de control, medida por el mismo FURAG.

La estructura operativa del MECI vigente son sus componentes —ambiente de control, evaluación del riesgo, actividades de control, información y comunicación, y actividades de monitoreo— articulados por el esquema de líneas de defensa, que asigna las responsabilidades de control desde la línea estratégica hasta la auditoría interna.

El error frecuente es confundir el control interno con la oficina de control interno. El sistema es de toda la entidad: los controles los ejecutan los dueños de los procesos en la primera línea, los supervisan la planeación y la gestión del riesgo en la segunda, y la oficina —la tercera línea— los evalúa con independencia. Una entidad donde «el control es de la oficina» tiene una auditoría solitaria y una operación sin controles, que es exactamente lo que el modelo existe para evitar.

En una plataforma de procesos, el MECI encuentra su materialización natural: los controles son actividades y reglas dentro de los procesos —con registro de ejecución—, los riesgos están asociados a los procesos que los generan, y la auditoría de la tercera línea consulta evidencia en lugar de solicitarla — el registro inalterable de eventos por caso es, para un auditor, la diferencia entre verificar y confiar.