Guía en profundidad · Gobernanza
El sistema de control interno (SCI) en un family office
Actualizado: · Leutrim Miftaraj, FLIORE · Principios editoriales · Otros idiomas: Deutsch · English · Français
Respuesta breve
Un sistema de control interno (SCI) asegura que los pagos se aprueban correctamente, las posiciones se concilian, las valoraciones se comprueban y los accesos se limitan, y que todo ello puede demostrarse. Se compone de objetivos de control, una matriz de riesgos y controles, controles clave documentados y pruebas periódicas. En un family office debe ser adecuado: ligero, pero completo para los riesgos importantes.
Por qué un SCI incluso en un family office pequeño
Los family offices gestionan grandes patrimonios con equipos pequeños. Pocas personas pueden ordenar pagos, cambiar datos maestros y elaborar informes: justo la constelación en la que errores y abusos pasan inadvertidos. Un SCI protege tanto a la familia como al equipo: evita errores, los detecta y demuestra que el trabajo se hizo correctamente. En Suiza, el órgano de revisión comprueba en una auditoría ordinaria la existencia de un SCI (art. 728a CO); con una revisión limitada o un opting-out sigue siendo una cuestión de buena gestión.
Los componentes según COSO
- Entorno de control: actitud de la dirección, roles claros, el principio de los cuatro ojos como cultura.
- Evaluación de riesgos: ¿qué errores o abusos tendrían consecuencias importantes?
- Actividades de control: controles concretos que evitan o detectan esos riesgos.
- Información y comunicación: cada uno conoce sus controles y comunica las desviaciones.
- Supervisión: pruebas periódicas de que los controles funcionan, y mejora.
Matriz de riesgos y controles (ejemplo)
| Riesgo | Control | Frecuencia | Prueba |
|---|---|---|---|
| Pago erróneo o fraudulento | Introducción y aprobación por personas distintas, límites | Cada pago | Registro de aprobaciones |
| Datos bancarios de un beneficiario cambiados | Devolución de llamada a un número conocido, aprobación separada de los datos maestros | Cada cambio | Nota con fecha y persona |
| Posiciones erróneas en el informe | Conciliación de cuentas y carteras con los extractos bancarios | Mensual | Acta de conciliación |
| Valoración desactualizada o maquillada | Revisión independiente, fecha de valoración visible | Trimestral | Justificante de valoración |
| Acceso no autorizado | Derechos basados en roles, revisión, inicio de sesión con dos factores | Semestral | Informe de revisión de derechos |
| Plazo incumplido | Calendario central con responsables | Continua | Nota de cumplimiento |
| Relación de negocios no revisada | Aprobación tras el KYC, revisión periódica | Continua | Expediente KYC, pista de auditoría |
Construirlo por pasos
- Identificar los procesos con riesgos importantes: pagos, datos maestros, valoración, reporting, accesos, cumplimiento.
- Describir y evaluar los riesgos de cada proceso.
- Definir los controles clave: quién, qué, cuándo, con qué prueba.
- Integrar los controles en los procesos y sistemas en lugar de en listas de control aparte.
- Probar una vez al año que los controles funcionan; corregir y documentar las deficiencias.
- Informar de los resultados a la dirección y al órgano responsable.
Adecuación en lugar de burocracia
Un SCI no es bueno por tener muchos controles, sino por cubrir los riesgos importantes y aplicarse de verdad. Un family office de cuatro personas no necesita cien controles, pero sí una aprobación completa de los pagos, una conciliación bancaria mensual, un concepto de derechos de acceso y un calendario de plazos. Donde la separación de funciones no es posible por el tamaño, ayudan los controles compensatorios, como una revisión posterior por la dirección o un mandato externo.
Ejemplo práctico (simplificado)
En un family office, una contable experimentada introducía y aprobaba sola los pagos; la dirección veía una lista cada mes. Tras una evaluación de riesgos, la aprobación pasa a tener dos niveles: los pagos de más de 10 000 francos requieren una segunda persona, y los cambios de datos bancarios se confirman por teléfono a un número conocido y los aprueba otra persona. La primera prueba anual revela una laguna: las órdenes permanentes no estaban cubiertas. Se añaden al control, y la deficiencia se documenta y se corrige.
Debilidades de control típicas
Algunas debilidades se repiten una y otra vez en los family offices. La más frecuente es reunir en las mismas manos el mantenimiento de los datos maestros y la aprobación de los pagos: quien puede cambiar los datos de los beneficiarios y aprobar pagos no necesita cómplices. Igual de extendidos están los mandatos bancarios de antiguos empleados, las conciliaciones realizadas pero no documentadas y las valoraciones elaboradas y comprobadas por la misma persona.
En los equipos pequeños, los controles también decaen durante las vacaciones por falta de suplente. Y a menudo no se adaptan a los cambios: un nuevo banco, una nueva cuenta o un nuevo canal de pago – como las tarjetas de crédito o los criptoactivos – surge fuera de los controles existentes. Una revisión anual de qué procesos, cuentas y accesos se han añadido cierra esta laguna.
En FLIORE
FLIORE integra controles centrales en los procesos: aprobaciones según el principio de los cuatro ojos, derechos basados en roles con inicio de sesión de dos factores que puede imponerse, controles con vencimientos en el calendario de cumplimiento y una pista de auditoría completa como prueba.
De un vistazo
| Marco de referencia | COSO Internal Control – Integrated Framework |
|---|---|
| Suiza | En una auditoría ordinaria, el órgano de revisión comprueba la existencia de un SCI (art. 728a CO) |
| Controles centrales | Aprobación de pagos, datos maestros, conciliación bancaria, valoración, accesos, plazos |
Términos de esta página
- Principio de los cuatro ojos
- Principio de control según el cual las operaciones importantes, como los pagos, son revisadas y aprobadas por una segunda persona autorizada.
- Registro de auditoría
- Registro inalterable que recoge quién creó, modificó, aprobó o eliminó qué datos y cuándo.
Preguntas frecuentes
¿Es obligatorio un SCI para un family office?
En Suiza se exige directamente sobre todo en el marco de una auditoría ordinaria. Para los intermediarios financieros supervisados, los requisitos derivan del derecho de supervisión. Para todos los demás es expresión de una gestión diligente.
¿Cuántos controles hacen falta?
Los necesarios para cubrir los riesgos importantes. En los family offices pequeños suelen bastar de diez a veinte controles clave.
¿Qué hacer si el equipo es demasiado pequeño para separar funciones?
Recurrir a controles compensatorios: revisión posterior por la dirección, límites, confirmaciones del banco o apoyo externo en las aprobaciones.
¿Cómo se prueba un SCI?
Con muestras por control: ¿se realizó, a tiempo, por la persona correcta, con prueba? Resultados y deficiencias se documentan.
¿Quién es responsable del SCI?
La dirección del family office o el órgano superior de dirección de la sociedad. La aplicación puede delegarse en el CFO o en cumplimiento.
¿Qué relación hay entre el SCI y el concepto de derechos de acceso?
El concepto de derechos de acceso forma parte del SCI: regula quién puede hacer qué. El SCI cubre además las conciliaciones, las aprobaciones, las valoraciones y su supervisión.
¿Cómo documentar los controles sin mucho esfuerzo?
Integrándolos en los sistemas: aprobaciones, conciliaciones y revisiones de derechos dejan así automáticamente una prueba con fecha y persona. Las listas de control aparte, en cambio, se olvidan a menudo.
¿Quién prueba el SCI?
En los family offices pequeños, a menudo la dirección o un especialista externo; en los grandes, una función de auditoría interna. Lo importante es que quien prueba no ejecute él mismo el control.
Fuentes
- Código suizo de obligaciones (OR/CO, RS 220) – Fedlex
- COSO – Internal Control – Integrated Framework
- EXPERTsuisse – normas suizas de auditoría
- Institut der Wirtschaftsprüfer (IDW) – instituto alemán de auditores
- ISO/IEC 27001 – sistemas de gestión de la seguridad de la información
Esta página sirve de orientación y no sustituye el asesoramiento jurídico o fiscal. Las fuentes legales citadas prevalecen en su versión aplicable.
Más información
Más sobre Operación, seguridad y tecnología
FLIORE en su family office
Vea estructuras, cumplimiento y patrimonio consolidado con sus propias preguntas, en una demostración personal.