El control interno es un sistema integrado a la organización, los planes, métodos, procedimientos y mecanismos de verificación y evaluación de una entidad. La Ley 87 de 1993 lo orienta a que actividades, operaciones, información y recursos se desarrollen conforme al ordenamiento, las políticas válidas de dirección y los objetivos institucionales. Los artículos 209 y 269 constitucionales establecen su fundamento y el deber de diseñar y aplicar métodos según la naturaleza de las funciones. El sistema no se reduce a la oficina que lo evalúa: se cumple en la estructura y en el ejercicio de los cargos, especialmente los de mando, con responsabilidades diferenciadas.
Dirección, procesos y evaluación independiente
La responsabilidad de establecer y desarrollar el sistema corresponde al representante legal o máximo directivo, sin eliminar la responsabilidad de los jefes de dependencias por la aplicación, calidad, eficiencia y eficacia de sus métodos y procedimientos. La Ley 87 exige adecuación a naturaleza, estructura y misión de la entidad. Un control útil para proteger inventarios puede diferir del necesario para decidir una prestación o gestionar información. Deben identificarse riesgos y operaciones concretas, personas responsables y evidencia de ejecución. Designar un auditor no traslada a este todos los deberes de dirección ni autoriza que cada área deje de aplicar los controles que integran su función.
La evaluación independiente del sistema de control interno corresponde a la unidad u oficina de control interno o quien haga sus veces, dentro de sus atribuciones. Los artículos 3 y 9 la sitúan como componente que evalúa y propone recomendaciones para mejorar eficiencia, eficacia y economía de los demás controles. Esa función exige distancia frente a la operación que se revisa: medir y asesorar no equivale a asumir la decisión del gestor. La independencia permite informar debilidades incluso cuando afectan procedimientos de una dependencia directiva. Su utilidad consiste en comprobar el funcionamiento del sistema y aportar razones para corregirlo, conservando quién debe adoptar y ejecutar cada medida.
El artículo 12 delimita una prohibición concreta: quien actúe como asesor, coordinador, auditor interno o equivalente no puede participar en los procedimientos administrativos mediante autorizaciones o refrendaciones. Por ello, no debe convertirse su firma en requisito general para ordenar pagos, seleccionar contratistas o resolver expedientes. El gestor conserva sus deberes y decisiones, y el evaluador realiza verificación, recomendación y seguimiento bajo su régimen. La prohibición no impide aportar información o asesorar en el alcance permitido; impide usar la función como una aprobación operativa que la ley excluye. Debe examinarse qué efecto real se atribuye a la intervención, no solo el nombre dado a la firma.
Objetivos y elementos que deben funcionar
Los objetivos del artículo 2 incluyen proteger recursos frente a riesgos; promover eficacia, eficiencia y economía; orientar actividades al cumplimiento de la misión; evaluar y seguir la gestión; y asegurar información oportuna y confiable. También comprenden prevenir riesgos, detectar y corregir desviaciones y verificar el propio sistema. Deben traducirse en controles observables. Si un registro permite documentar una entrega, hay que comprobar que se utiliza oportunamente y que sus datos son fiables. Si una verificación busca evitar una decisión sin requisito esencial, debe integrarse al proceso pertinente y tener un responsable. Enumerar objetivos sin organizar su cumplimiento no demuestra un sistema efectivo.
El artículo 4 contempla metas, políticas, organización, delimitación de autoridad y responsabilidad, protección de recursos, sistemas de información, evaluación confiable y capacitación, entre otros elementos. Su relación importa más que su presentación aislada. Una meta necesita un proceso para alcanzarla; el proceso requiere asignaciones claras; la verificación necesita datos; y la corrección exige una decisión de quien puede adoptarla. La simplificación y actualización de procedimientos debe conservar las garantías y fuentes aplicables. Un manual ayuda a organizar actividades, pero su existencia no prueba que se cumpla ni puede reemplazar la norma que distribuye una competencia o establece un requisito.
El auditor debe planear y organizar la verificación, comprobar que los controles están definidos y se cumplen por sus responsables, evaluar su adecuación y recomendar ajustes. El artículo 12 incluye revisar procesos de recursos e información, fomentar cultura de control, verificar mecanismos de participación y mantener informados a los directivos. Cada conclusión necesita relacionarse con evidencia y criterio. La revisión puede identificar un control inexistente, otro mal diseñado y otro adecuado pero incumplido; requieren respuestas diferentes. Crear un formato adicional no soluciona necesariamente una asignación confusa de responsabilidades, y capacitar no sustituye corregir un procedimiento cuyo diseño omite una condición legal.
Informes, coordinación y mejora comprobable
El sistema requiere coordinación al nivel previsto por el artículo 13 mediante su comité, conforme a la naturaleza de la organización y las reglas aplicables. Coordinar permite que las dependencias conozcan hallazgos, eviten respuestas incompatibles y asignen las medidas que les corresponden. No convierte al comité en autoridad universal sobre cada decisión administrativa. El representante legal, jefes y evaluador conservan sus funciones. La información de la evaluación debe permitir priorizar causas y comprobar avances, evitando que el tratamiento de una debilidad dependa únicamente de una declaración general de compromiso. El resultado se verifica en procesos efectivamente mejorados.
El artículo 14 vigente, reformado por el artículo 156 del Decreto Ley 2106 de 2019, exige publicar cada seis meses el informe de evaluación independiente del estado del sistema, de acuerdo con lineamientos de Función Pública. Si la entidad carece de sitio web, debe publicarse por medios de fácil acceso ciudadano. Esa periodicidad no debe reemplazarse por la versión anterior de cuatro meses. El artículo también ordena reportar a organismos de control posibles actos de corrupción e irregularidades encontrados en las funciones y reconoce el valor probatorio de informes cuando las autoridades pertinentes los soliciten. Reportar una posibilidad fundada no equivale a dictar una condena personal.
El seguimiento verifica la implantación de las medidas recomendadas y su relación con el problema, conforme al artículo 12. Debe establecerse qué actuación ejecutó el responsable y qué evidencia demuestra su efecto. Si la falla persiste, el sistema necesita una explicación y un ajuste pertinente; cerrar un compromiso porque se envió una respuesta no prueba que desapareció la causa. Este trabajo se diferencia del control disciplinario interno, que investiga y decide responsabilidades bajo su régimen, y de las competencias fiscales o judiciales. La evaluación puede aportar información para otros procedimientos sin asumir sus decisiones ni liberar al gestor de su deber de corregir dentro de su competencia.
Ejemplo colombiano 1: firma del auditor como aprobación de pago
Caso hipotético: una entidad colombiana ordena que ningún pago administrativo avance sin una firma de autorización del auditor interno. No se trata de una revisión independiente ni de una recomendación, sino de una aprobación obligatoria del trámite. La medida contradice la prohibición del artículo 12. El control debe organizarse preservando los deberes de quienes verifican y deciden el pago, y permitiendo evaluación y seguimiento del sistema. Cambiar el título de la firma a constancia no corrige el problema si sigue produciendo el efecto de refrendación. La separación protege la función evaluadora y mantiene identificada la responsabilidad de gestión.
Ejemplo colombiano 2: jefatura que abandona sus controles
Caso hipotético: una dependencia colombiana deja de conciliar sus registros de bienes porque considera que esa tarea corresponde por completo a la oficina de control interno. La conciliación forma parte de sus deberes de gestión y no ha sido trasladada válidamente a otra autoridad. Deben conservarse las responsabilidades de dirección y aplicación de controles de los artículos 3 y 6. La oficina evaluadora puede revisar la debilidad, informar y recomendar medidas, pero su existencia no sustituye el cumplimiento del área. La solución requiere restablecer el control pertinente y comprobar su ejecución, sin deducir automáticamente una sanción personal de la sola descripción del problema.
Ejemplo colombiano 3: reporte y publicación como deberes distintos
Caso hipotético: en su evaluación una oficina colombiana encuentra indicios documentados de una posible irregularidad y prepara el informe independiente semestral. Se propone omitir el reporte a organismos de control porque la publicación del informe ya permitiría a cualquiera enterarse. El artículo 14 conserva ambos deberes y su objeto: informar públicamente el estado del sistema y reportar posibles irregularidades encontradas en el ejercicio de las funciones. Deben cumplirse las actuaciones pertinentes sin presentar el indicio como responsabilidad definitivamente declarada. El seguimiento de la mejora interna tampoco reemplaza la remisión que corresponda ni autoriza que la oficina evaluadora imponga la consecuencia de otro régimen.
Síntesis y fuentes
El control interno funciona mediante responsabilidades de gestión, controles incorporados a los procesos y evaluación independiente. Su diseño debe relacionar misión, riesgos, información, autoridad y medidas de mejora. El evaluador verifica, asesora, informa y sigue la implantación, conservando la prohibición de autorizar o refrendar procedimientos. Dirección y dependencias mantienen sus deberes propios. Publicación y reporte sirven a transparencia y actuación competente; su cumplimiento exige evidencia y no se agota en producir un documento sin efectos sobre las causas de las desviaciones.
Fuentes: Constitución Política, artículos 209 y 269; Ley 87 de 1993, artículos 1–6 y 8–14; Decreto Ley 2106 de 2019, artículo 156. Se utiliza el texto vigente de reportes y se diferencia de sus versiones históricas, sin convertir las reglas de nombramiento o de contratación de servicios en un manual general de provisión de empleos o selección contractual.