El modelo de tres líneas de defensa o TLoD es una parte importante de cada organización. La junta de una organización trabaja como un agente para los accionistas y es responsable de la administración de la organización. El consejo establece la cultura de riesgo y control, aprueba las políticas, supervisa el rendimiento de la dirección y establece las estrategias de la organización.

La junta requiere informes periódicos sobre riesgos, problemas, incidentes y desafíos que enfrenta la organización, y dicha alta gerencia realiza informes periódicos a la junta. La junta, a través de la alta gerencia, construye las líneas de defensa en la organización. Tales líneas de defensa se conocen como las Tres Líneas de Defensa o el modelo TLoD.

El modelo TLOD juega un papel crucial en el desarrollo y mantenimiento del sistema de controles internos de la organización. En el modelo TLOD, cada línea de defensa desempeña un papel importante en el apoyo a otras líneas de defensa para garantizar que se sigan e implementen controles internos en todos los niveles de la organización.

Las tres líneas de defensa o definición y responsabilidades del modelo TLoD

La definición y las principales responsabilidades de cada una de las tres líneas de defensa son las siguientes:

Primera línea de defensa

Las empresas y funciones involucradas o que apoyan actividades generadoras de ingresos que poseen y gestionan los riesgos. En otras palabras, la primera línea de la defensa comprende aquellos departamentos y funciones involucradas en la realización de ventas a los clientes. Estos departamentos y funciones trabajan desde la primera línea de una organización.

Las siguientes son las responsabilidades clave de la primera línea de defensa:

• Proponer los riesgos necesarios para llevar a cabo las actividades generadoras de ingresos.
• Identificar, monitorear y escalar riesgos y problemas a Second Line y a la Alta Dirección.
• Gestione los riesgos dentro de Risk Appetite.
• Establecer y ejecutar planes de corrección de riesgos.
• Poseer y diseñar procesos, controles y estándares para el cumplimiento de los Marcos y Políticas de Tipo de Riesgo establecidos por la Segunda Línea.
• Validar y autoevaluar el cumplimiento de los marcos y políticas de tipo de riesgo, confirmar la calidad de la validación y proporcionar una afirmación basada en evidencia a Second Line.
• Asegúrese de que los sistemas y procesos cumplan con los requisitos de agregación de datos de riesgo, informes de riesgos y calidad de datos establecidos por la segunda línea.
• Asegurar que se cumplan las leyes y regulaciones aplicables y elevar los asuntos y desarrollos significativos de incumplimiento regulatorio a la Segunda Línea y a la Alta Dirección.
• Promover una cultura de riesgo saludable y buena conducta.

Segunda línea de defensa

Las funciones de control independientes de la Primera Línea que proporcionan supervisión y desafío de la gestión de riesgos para proporcionar confianza a la alta dirección y la junta.

Las siguientes son las responsabilidades clave de la primera línea de defensa:

• Revisar las propuestas de riesgo de primera línea y tomar decisiones para aprobar o rechazar según corresponda.
• Supervisar y desafiar las actividades de toma de riesgos de primera línea.
• Procesos propios para establecer Marcos de Tipo de Riesgo, Políticas y Estándares, y monitorear el cumplimiento.
• Poseer y gestionar procesos de supervisión y desafío.
• Proponer el apetito de riesgo a la junta, monitorear e informar el cumplimiento del apetito de riesgo.
• Intervenir para reducir el negocio si no está en línea con el apetito de riesgo existente o ajustado, el incumplimiento material de los requisitos de la política o cuando los controles operativos no gestionan el riesgo de manera efectiva.
• Asegurar la implementación efectiva de las políticas y los marcos de tipo de riesgo y afirmar la efectividad a los propietarios del marco de riesgo.
• Identificar, monitorear y escalar riesgos y problemas a los propietarios de riesgos, la alta gerencia y la junta o los comités a nivel de junta.
• Revise los planes de remediación de riesgos establecidos por la primera línea para mitigar los problemas de apetito de riesgo.
• Establezca la agregación y calidad de los datos de riesgo y asegúrese de que los sistemas y procesos cumplan con los requisitos.
• Asegúrese de que haya controles para cumplir con las leyes y regulaciones aplicables y escalar las infracciones significativas de incumplimiento regulatorio y los nuevos desarrollos a los propietarios de riesgos y controles, la administración y la junta.
• Promover una cultura de riesgo saludable y buena conducta.

Tercera línea de defensa

La función de auditoría interna proporciona una garantía independiente de la eficacia de los controles que respaldan la gestión de riesgos de primera línea de las actividades comerciales y los procesos mantenidos por la segunda línea de defensa. La tercera línea de defensa vigila las actividades de la primera y segunda línea de defensa, verifica los controles internos e identifica deficiencias en la estructura de controles internos.

Las siguientes son las responsabilidades clave de la tercera línea de defensa:

• Evaluar de forma independiente si la gerencia ha identificado los riesgos clave en el negocio y si estos se informan y rigen de acuerdo con el marco de controles internos establecido.
• Evaluar de forma independiente la idoneidad del diseño de los controles y la eficacia operativa.
• Identificar y reportar los hallazgos y controlar fallas a los propietarios de riesgos en diferentes procesos y subprocesos de la primera y segunda línea de defensa.
• Proponer sugerencias a la gerencia para resolver los problemas de control identificados durante las actividades de auditoría interna de diferentes departamentos y funciones.
• Informe los problemas de controles internos y los hallazgos significativos al comité de auditoría de la junta o BAC.

Reflexiones finales

El modelo de las Tres Líneas de Defensa (TLoD) es una parte vital de la estructura organizativa que proporciona un mecanismo robusto para la gestión de riesgos y el control interno. Con la primera línea responsable de gestionar los riesgos en las actividades generadoras de ingresos, la segunda línea supervisando estas actividades y la tercera línea realizando auditorías independientes para identificar y rectificar las deficiencias de control, el modelo es integral para lograr una gobernanza efectiva y mantener el cumplimiento.

Es esencial que cada línea funcione al unísono y desempeñe sus responsabilidades designadas de manera sólida, para asegurar a la Junta y a los accionistas los mecanismos sólidos de gestión y control de riesgos de la organización. En esencia, el modelo TLoD sirve como una hoja de ruta para una mejor gobernanza y resiliencia organizacional, guiando cada función hacia las mejores prácticas en gestión de riesgos y control.