El Instituto Americano de Contadores Públicos Certificados definió el control interno desde 1949, así:
El Control Interno incluye el Plan de Organización de todos los métodos y medidas de coordinación acordados dentro de una empresa para salvaguardar sus activos, verificar la corrección y confiabilidad de sus datos contables, promover la eficiencia operacional y la adhesión a las políticas gerenciales establecidas (Rivero y Campos, s. f., p. 1).
A partir de entonces, se han generado múltiples implicaciones conceptuales y algunos modelos que han sido implementados por las organizaciones. Uno de esos modelos es el del Committee of Sponsoring Organizations of the Treadway Commission (COSO), constituido por cinco organismos para mejorar el control interno dentro de las organizaciones. En 1992, el COSO publicó el Marco integrado de control interno, el cual es líder para diseñar, implementar y desarrollar el control interno y evaluar su efectividad, definiendo el mismo como
[…] el proceso efectuado por la dirección y el resto del personal de una entidad, diseñado con el objetivo de proporcionar un grado de seguridad razonable en cuanto a la consecución de los objetivos dentro de las siguientes categorías: eficacia y eficiencia de la información financiera y cumplimiento de las leyes, reglamentos y normas (citado en Colombia, Departamento Administrativo de la Función Pública, 2014, p. 118).
Con seguridad razonable, el COSO quiere señalar que no es seguridad absoluta y que el proceso es diseñado por personas, no por sistemas, manuales o formularios.
Por otra parte, en Colombia, el Departamento Administrativo de la Función Pública implementó el “Modelo estándar de control interno” (MECI) en el 2005 (Colombia, Presidencia de la República, 2005), a partir de la estructura establecida por la Ley 87 de 1993 para el Sistema de Control Interno. Si bien el MECI está inicialmente concebido como instrumento de control de las entidades públicas, otras organizaciones lo aplican, no solo para cumplir con las exigencias estatales –porque lo deben hacer–, sino también para la organización interna y para obtener los resultados esperados. El mismo consta de una serie de subsistemas, componentes y elementos de control del Estado colombiano, actualizados bajo el Decreto 943 del 21 de mayo de 2014 (Colombia, Presidencia de la República, 2014), el cual toma como referencia modelos internacionales vigentes. Los elementos son trece, desarrollados en seis componentes y en dos grandes módulos de control,6 que sirven como unidad básica para realizar el control, tanto a la planeación y la gestión institucional como a la evaluación y el seguimiento. El eje transversal del modelo lo constituyen la información y la comunicación.
El MECI concibe, entonces, varios productos para garantizar que las organizaciones públicas, imitadas por las privadas para su propio beneficio, generen información con contenido claro, en cuanto a las acciones, las políticas, los métodos, los procedimientos y los mecanismos de prevención, control, evaluación y mejoramiento continuo. Estos productos son: código de buen gobierno, operación por procesos, planes, programas –cuyo principal ejemplo es el “Plan Estratégico Institucional. Administración de riesgos”, del cual se desprende el “Mapa de riesgos, controles y contingencias por proceso”– y procedimientos: controles establecidos para mejorar cada proceso, manejar los riesgos y optimizar indicadores de gestión, información y comunicación organizacional (correo institucional, portal web, rendición de cuentas, informes a entes de control), planes de acción divisionales y planes de acción individuales. Toda esta información debe encontrarse consolidada en el manual de operación de cada organización (Colombia, Congreso de la República, 2014).
Como toda información, el MECI tiene destinatarios reales y concretos. Dirige su comunicación a los miembros de las organizaciones, desde las altas jerarquías, quienes deben responder como entidad del Gobierno o entidad privada ante las diferentes instancias del Estado, hasta los trabajadores, quienes deben seguir las prescripciones dictadas a fin de lograr los objetivos institucionales. “A su vez, persigue la coordinación de las acciones, la fluidez de la información y comunicación, anticipando y corrigiendo, de manera oportuna, las debilidades que se presentan en el quehacer institucional” (Colombia, Congreso de la República, 2014, p. 7).
Por supuesto, y dado el carácter anticipatorio de estos elementos, el MECI parte de unos principios que son el fundamento y pilar básico para garantizar la efectividad del Sistema de Control Interno, los cuales deben ser aplicados en cada uno de los aspectos que enmarcan el modelo: autocontrol, autogestión y autorregulación (Colombia, Congreso de la República, 2014, p. 10).
En el Sistema de Control Interno, cada uno de sus componentes está organizado bajo el criterio de la verificación y la evaluación al interior de un conjunto de métodos y normas análogas a las leyes y políticas de cada organización. Este sistema se expresa en manuales, donde aparecen las funciones y los procedimientos, y todo lo concerniente a la valoración o evaluación: y se elabora con una serie de disposiciones para que la organización aplique las estrategias de gestión y evaluación contempladas en sus objetivos y en el cumplimiento de las leyes del Estado.
El concepto de control interno se basa en una actividad posterior a la acción. No se ejecuta antes de iniciar un trabajo, sino después de llevarse a cabo una labor o durante la acción, por medio de unos mecanismos de evaluación. Es decir, para que el control cumpla con el objetivo de mantener la coherencia y la consistencia de las tareas encaminadas al cumplimiento de los propósitos de la organización, se requieren dos acciones: regulación y verificación del comportamiento de la organización (Arango, 2007, p. 85). Con la primera se formulan e implementan las estrategias, definiendo los propósitos, el futuro deseable para la organización (visión, misión, objetivos); y con la segunda se concretan las acciones que garantizan la concreción de la estrategia (p. 86). Si la regulación atañe específicamente a la estructura organizacional o jerárquica de la organización, la verificación es la acepción más habitual del control: consiste en la confrontación entre aquello que se diseñó o planeó, y lo efectivamente realizado, en busca de desviaciones y posibles acciones de mejoramiento.
Básicamente una organización utiliza dos dispositivos de verificación: el monitoreo de las actividades y la auditoría. El primero se ocupa de la observación directa y permanente de las actividades, efectuada por quienes tienen la responsabilidad de su ejecución, con el fin de identificar desviaciones y corregirlas en el menor tiempo posible. La segunda se ocupa de un examen de las actividades, realizado por una tercera persona independiente a quien tiene la responsabilidad directa por la ejecución del trabajo, con el fin de dictaminar o certificar si éste ha sido realizado de acuerdo con lo planeado, identificar desviaciones importantes y proponer acciones tendientes a su corrección (Arango, 2007, p. 91).
Teniendo en cuenta estas perspectivas oficiales sobre el control interno, el control no sería otra cosa que la evaluación, la medición, el ajuste de la acción o el comportamiento de los integrantes de un sistema laboral, con el fin de alcanzar un grado pertinente de seguridad orientado hacia el logro de los objetivos de la organización. Así, el control se identifica con la medición de los movimientos y con los hechos financieros de la organización; no es una actividad inseparable de los miembros de la misma, que aplican (quienes tienen la potestad) y que cumplen (quienes tienen la obligación) sus pautas para lograr su propia supervivencia laboral.
Si bien esta concepción oficial, gubernamental, organizacional del control parece bastante aséptica en relación con la forma en que autores como Deleuze, Van Dijk o hasta el propio Mintzberg –desde la teoría administrativa– hablan del mismo concepto, esto no quiere decir que las dos vertientes estén desconectadas. Cada una observa lo que quiere observar, lo que interesa y es visible desde su raíz epistemológica y sus objetivos prácticos y teóricos. La distancia entre la mirada aséptica del control y la mirada crítica da cuenta, entre otras cosas, de la necesidad de un análisis en profundidad del discurso del control organizacional, pues en sus mínimos detalles, así como en su gramática, pueden encontrarse los rasgos que revelan las relaciones de poder que sustentan tal discurso.
Tanto las propuestas de la teoría administrativa como las de los organismos nacionales