Una representación formal—a menudo diagramática o tabular—de objetivos de control, actividades de control, roles responsables, flujos de datos y excepciones utilizada para describir cómo operan e interrelacionan los controles internos de una organización.

Principio

Hacer explícita la arquitectura de controles para que las partes interesadas comprendan dependencias, propiedad, puntos de automatización y la cobertura de riesgos clave en procesos y sistemas.

Demostración

Un modelo de controles para order-to-cash podría incluir un flujo de proceso con nodos de control para la aprobación de crédito del cliente, conciliación de facturas, reconciliaciones automatizadas, controles de acceso y reglas de monitorización, cada uno vinculado al propietario del control y a la frecuencia del control.

Aplicación incorrecta

Crear un modelo excesivamente complejo con detalle innecesario que oscurezca las relaciones críticas riesgo-control, o usar el modelo como diagrama estático que nunca se actualiza cuando cambian los procesos.

Consecuencia

Un modelo bien construido mejora la transparencia, simplifica el análisis de impacto por fallos de control, guía estrategias de automatización y prueba, y aclara la responsabilidad en la ejecución de controles.

Inversión

No documentar un modelo, dejando el entendimiento de controles tácito y distribuido entre individuos, lo que aumenta la fragilidad cuando el personal clave no está disponible o los sistemas cambian.

Límite

Describe el diseño de controles, la propiedad y los flujos, pero no prueba por sí mismo la eficacia operativa; se requieren pruebas y evidencias para validar un modelo en la práctica.

Tensión semántica

Cercano a modelos de procesos y matrices de control; un modelo de controles enfatiza la lógica y las relaciones de control más que instrucciones de trabajo detalladas o diagramas de flujo genéricos.

Síntesis

El Modelo De Controles es el mapa estructurado de la arquitectura de controles de una entidad que hace explícitos los objetivos, actividades, propietarios e interacciones para apoyar la gobernanza, las pruebas y la remediación.