Coso

A C U E N TA S C O N L A I N F O R M Á T I C A
Deberá aceptarse que el complejo legisladores/reguladores/ supervisores USA ha reccionado con significativa rapidez ante el evento Enron et alii, ya que alumbró la Sarbanes Oxley Act en 2002, potenció la SEC (Securities and Exchange Commission), creó la PCAOB (Public Company Accounting Oversight Board), y aceleró la publicación del COSO II,facilitando un marco teórico-práctico ante la avalancha normativa. También ha tenido en cuenta Basilea II (y sus pilares), muy importante para el macrosector bancario y financiero, así como otras aportaciones de área anglosajona. En UE y en España, la migración normativa de USA es lenta y asintótica; por ejemplo, se espera para 2006 el POB (Public Oversight Board) paneuropeo, que coordinará en dosdirecciones, con USA/PCAOB (Public Company Accounting Oversight Board) y con los 25 POB nacionales, por ahora. A ello se suma la actual movida de I+D+i, la productividad, la RSC (Responsabilidad Social Corporativa), los Códigos de Buenas Prácticas de Gobierno Corporativo Olivencia y Aldama, y el próximo Código Conthe impulsado por la CNMV, teniendo en cuenta, el Informe Winter UE/2003. En fin, que todollegará; eso sí, con arranques de caballo y paradas de burro. Para rematar esta entrega, quizás convenga evidenciar dos textos convenientemente entrecomillados, a fin de que algunos profesionales afectados por el análisis y la gestión de los riesgos se reencuentren con la pura verdad. Así me pareció a mí al leer que “El riesgo corresponde al futuro, que es inherentemente incierto. La gestión deriesgos corporativos no puede facilitar una seguridad absoluta”, algo que por conocido no es menor cierto. La segunda cita es todavía más balsámica, al indicar que “La primera limitación recuerda que nadie puede predecir el futuro con certeza. La segunda reconoce que ciertos eventos están sencillamente fuera del control de la dirección. La tercera tiene que ver con el hecho de que ningún proceso harásiempre todo aquello para lo que ha sido diseñado”. En otras palabras, que la seguridad TIC tiene su óptimo si es razonable. Claro está que lo difícil es ir midiendo lo razonable. n

COSO II, veinte años después
José de la Peña Sánchez
Las olas procedentes del “tsunami” Treadway Commission, afortunadamente no cesan. Recuerdo que su denominación oficial en USA es National Commission onFraudulent Financial Reporting, que inició su marcha en 1985 y emitió su informe en 1987, entregando el testigo a su Committee of Sponsoring Organizations, que publicó en 1992 el famoso Informe COSO sobre Control Interno-Marco Integrado, que desarrolló nuevos conceptos de control interno, traducido en 1997 para España. Con algún retraso respecto a la saga Enron, reanudó su funcionamiento el precitadoComité y en 2004 apareció otro informe, el llamado COSO II sobre Gestión de Riesgos Corporativos-Marco Integrado –que de hecho comprende el COSO I– cuya versión española, utilizada como fuente en esta entrega, ha sido editada este año por PricewaterhouseCoopers, constituye una gran aportación a la cultura de la seguridad TIC desde mi personal punto de vista, dicho sea sin olvidar a otros grupos deinterés, tanto públicos como privados, que se citan reiteradamente en el texto. Por comparar, se observa que la versión española del COSO II se ha acelerado a la del COSO I –de USA 2004 a 2005 respecto a USA 1992 a 1997–, lo que motiva felicitación. La versión escrita en español del COSO II tiene 151 páginas y 420 la del COSO I, detalle que dice mucho y bueno, puesto que denota una sensibilidadhacia las limitaciones de tiempo, casi “ostentóreas”, de los lectores de estatus elevado de determinados sectores. En mi opinión es importante reseñar que la idea fuerza que alienta el COSO II es una especie de tratado de ciencia actuarial + Seguridad TIC + Código de Buenas Prácticas de Gobierno Corporativo, dicho sea en el mejor sentido. Esto queda reflejado en algunos párrafos: “... La gestión de...