El sistema de control interno administrativo integra organización, planes, métodos, procedimientos y mecanismos de verificación para que la entidad actúe conforme al ordenamiento y a sus objetivos. Los artículos 209 y 269 constitucionales lo relacionan con la función administrativa y exigen diseñarlo y aplicarlo según la naturaleza de las funciones y la ley. La Ley 87 de 1993 desarrolla esa estructura. El sistema no es únicamente una revisión de documentos al final ni la oficina encargada de evaluarlo: debe formar parte de las actividades, información y uso de recursos de la organización.
La responsabilidad de establecer, mantener y perfeccionar el sistema corresponde a la máxima autoridad y su desarrollo también compromete al representante legal o máximo directivo. Los artículos 3 y 6 de la Ley 87 distribuyen responsabilidades propias a los jefes de las áreas en la aplicación, calidad, eficiencia y eficacia de métodos y procedimientos. Esa distribución permite identificar quién debe diseñar, ejecutar y mejorar cada control. Designar un auditor no transfiere a esa persona toda la gestión ni convierte en ajenos los deberes de la dirección y dependencias.
El diseño parte de misión, objetivos, actividades y riesgos relevantes. La Ley 87, artículos 2 y 4, relaciona protección de recursos, confiabilidad de información, evaluación de gestión y prevención o corrección de desviaciones. Deben delimitarse autoridad, responsables y formas de comprobar que el proceso funciona. Un control es útil si responde a una necesidad identificada y puede ejecutarse y verificarse. Añadir una firma sin función definida puede aumentar trámites sin mejorar la garantía; eliminar un control necesario por no haber ocurrido todavía una pérdida confunde prevención y reacción.
La evaluación independiente del control interno corresponde a la unidad u oficina, o quien haga sus veces, en el alcance previsto por la ley. Su posición permite contrastar cómo funcionan los demás controles y recomendar mejoras a la dirección. Independencia en esa tarea no equivale a autonomía para gobernar toda la entidad. La oficina necesita evidencia sobre el diseño y operación, explica los criterios aplicados y comunica debilidades, sin asumir como propias las decisiones que después debe evaluar. La separación de responsabilidades favorece que el examen no dependa de aprobar previamente aquello que revisará.
Los artículos 9 y 12 de la Ley 87 precisan funciones de verificación, asesoría, evaluación y seguimiento. La oficina verifica controles de procesos, manejo de recursos, bienes e información y aplicación de mecanismos de participación, e informa a directivos sobre debilidades y fallas. El parágrafo del artículo 12 le prohíbe participar en procedimientos mediante autorizaciones o refrendaciones. La función evaluadora no puede transformarse en un requisito de aprobación general de las decisiones. La entidad debe conservar la competencia del gestor y organizar controles compatibles con esa prohibición legal.
La información es parte del sistema y también objeto de control. El artículo 3 exige registrar transacciones de forma exacta, veraz y oportuna; el artículo 2 contempla oportunidad y confiabilidad de información. Debe poder identificarse qué ocurrió, cuándo, con qué soporte y bajo qué responsabilidad, según el proceso. Un reporte agregado puede servir para medir, pero no sustituye los datos que permiten comprobar operaciones. Corregir un registro debe preservar su trazabilidad conforme a los mecanismos pertinentes; alterar la fecha o el contenido para ocultar una desviación deteriora justamente la evidencia necesaria para controlarla.
El seguimiento debe comprobar la implantación de medidas recomendadas, no únicamente la existencia de un compromiso escrito. Una mejora puede haberse aprobado y no operar; un control puede funcionar inicialmente y fallar tras un cambio técnico u organizativo. El artículo 12 incluye verificar que las medidas se implanten y que los controles sean apropiados y mejoren según evoluciona la entidad. Debe distinguirse quién ejecuta el ajuste y quién evalúa su funcionamiento. La oficina informa el resultado y sus límites, mientras la autoridad competente adopta y aplica las medidas de gestión que correspondan.
Los informes cumplen funciones diferenciadas. El artículo 14 de la Ley 87, modificado por el artículo 156 del Decreto Ley 2106 de 2019, exige publicar cada seis meses un informe de evaluación independiente del estado del sistema, según lineamientos de Función Pública; si no hay sitio web, dispone medios de fácil acceso a la ciudadanía. Conserva el deber de reportar posibles actos de corrupción e irregularidades encontrados a organismos de control. Son obligaciones con objetos propios y el dato de posible irregularidad no equivale a responsabilidad definitivamente declarada. No se utiliza la periodicidad histórica de cuatro meses como regla actual.
La responsabilidad por control interno se examina respecto de deberes y actuaciones concretos. Debe identificarse quién tenía obligación de establecer un mecanismo, aplicarlo, evaluar o comunicar y cómo se comportó en las circunstancias. La existencia de una desviación no demuestra culpa idéntica de todas las personas del organigrama ni libera automáticamente a quien delegó una función. La C-372/02 distingue responsabilidad por conducta propia y responsabilidad inevitable por hecho ajeno en el ámbito estudiado. Su condicionamiento sobre repetición contractual no convierte cualquier defecto de control en dolo o culpa grave ya acreditados.
El control interno de gestión se diferencia del ejercicio de potestad disciplinaria y de la declaración de responsabilidad fiscal o patrimonial. La oficina puede detectar hechos y aportar información, pero el efecto depende del mecanismo competente y sus garantías. El artículo 14 reconoce valor probatorio a informes en los procesos pertinentes cuando las autoridades los soliciten; no les atribuye el efecto de sentencia automática. Los hechos, deberes, daño o presupuesto subjetivo que correspondan deben examinarse en su ámbito. Mejorar un proceso y sancionar personalmente una conducta son actuaciones con objetos y condiciones distintos.
La vigilancia externa y la participación ciudadana complementan sin sustituir el sistema propio. Una entidad debe usar la información de hallazgos y observaciones de manera pertinente, pero no esperar a que otro órgano detecte toda desviación para actuar. El mandato constitucional de control interno exige una organización capaz de verificar su desempeño y ajustar lo que corresponda bajo competencia. También el control debe aplicarse con economía, celeridad, imparcialidad y publicidad, evitando una acumulación de revisiones que impida prestar el servicio o convierta al evaluador en decisor de cada actuación.
La conclusión útil relaciona diseño, operación, evaluación, seguimiento y respuesta. Se identifica qué control debía existir, si funcionó, qué evidencia lo demuestra, qué medida se adoptó y qué autoridad debe conocer los hechos que exceden la mejora de gestión. Esta secuencia hace efectivos los artículos 209 y 269 sin reducir responsabilidad a firmar un formato o a culpar a una oficina única. La entidad conserva sus deberes y el evaluador los suyos, de modo que la verificación produzca información fiable y correcciones permitidas con responsables reconocibles.
Ejemplo colombiano 1: registros compartidos sin trazabilidad de cambios
Una entidad colombiana lleva el registro de entregas de elementos mediante una cuenta compartida que permite cambiar cantidades sin identificar quién lo hizo ni conservar la historia. La evaluación acredita que esto impide comprobar diferencias y que existen medios permitidos y disponibles para asignar accesos y registrar modificaciones, sin imponer un trámite nuevo al destinatario. No se ha demostrado una pérdida de bienes ni una conducta dolosa concreta. El problema establecido es de confiabilidad y diseño del control de información.
La Ley 87 exige información y registros adecuados para verificar operaciones. La dirección y el área responsable deben organizar el control que permita identificar movimientos y soportes conforme a su proceso; la oficina evaluadora explica la debilidad y recomienda y sigue la mejora. No debe inventar una pérdida o atribuir responsabilidad personal a todos los usuarios de la cuenta. La solución busca trazabilidad comprobable y conserva las competencias de gestión, sin convertir la recomendación en aprobación obligatoria de cada entrega por el auditor.
Ejemplo colombiano 2: mejora aprobada y alerta que dejó de funcionar
En una entidad colombiana se aprobó una medida para detectar oportunamente el vencimiento de calibraciones de instrumentos. La primera versión funcionó, pero una actualización del sistema desactivó las alertas. Está acreditado que nadie verificó su operación tras el cambio y el responsable pretende cerrar el seguimiento solo porque existe el acta antigua de aprobación. No se afirma un intervalo universal de calibración ni se presume daño material; el supuesto se concentra en si la medida de control está implantada y funciona actualmente.
Aprobar el ajuste no demuestra que conserve su operación. La evaluación y seguimiento deben contrastar la medida con evidencia actual y comunicar el defecto para que el responsable competente la restablezca o adopte una solución adecuada. El artículo 12 exige verificar implantación y adecuación de controles a la evolución de la entidad. La oficina no asume la calibración ni autoriza el uso de cada instrumento: examina el mecanismo y el gestor aplica la medida que corresponde. El cierre requiere soporte sobre funcionamiento, no únicamente constancia de una decisión pasada.
Ejemplo colombiano 3: entidad sin sitio web y acceso al informe
Una entidad pública colombiana comprendida en la regla aplicable no dispone de sitio web. Ha elaborado el informe semestral de evaluación independiente del sistema y propone conservarlo solo en una carpeta interna porque considera imposible cumplir el medio digital. Se da por acreditada esa ausencia técnica, sin usarla para decidir aquí si existían otros deberes de disponer de página electrónica. El objeto es determinar cómo opera la previsión alternativa de publicación del artículo 14 de la Ley 87.
La falta de sitio no suprime esa obligación: la norma prevé medios de fácil acceso a la ciudadanía. La entidad debe organizar una forma que satisfaga esa condición, en lugar de equiparar elaboración y publicidad o considerar cumplido el deber por archivarlo internamente. La conclusión no escoge un medio sectorial universal ni autoriza revelar contenido legalmente protegido. Aplica la alternativa expresa al hecho dado y conserva el propósito de acceso público al estado del sistema, distinto de los reportes que deban dirigirse a autoridades competentes.