De "líneas de defensa" a "Tres Líneas"
Durante años se habló del modelo de las tres líneas de defensa, popularizado por el Instituto de Auditores Internos (IIA) en su documento de posición de 2013. Su lógica era clara: separar quién gestiona el riesgo, quién lo supervisa y quién da aseguramiento independiente.
En julio de 2020 el IIA lo actualizó y lo rebautizó como Modelo de las Tres Líneas. El cambio no fue cosmético:
• Se eliminó la palabra "defensa". La gestión de riesgos no solo protege valor; también lo crea. Un modelo puramente defensivo invitaba a ver a auditoría como un freno.
• Se puso al órgano de gobierno en el centro. El directorio rinde cuentas a los grupos de interés y delega en la dirección; auditoría interna le reporta a él.
• Las líneas dejan de ser compartimentos estancos. Se pide colaboración y alineación entre roles, sin perder la independencia de la tercera línea.
• Se habla de roles, no de estructuras rígidas. Una misma persona o área puede tener roles de primera y segunda línea; lo que no puede hacer es auditarse a sí misma.
El modelo descansa en seis principios: gobierno, rol del órgano de gobierno, roles de la dirección (primera y segunda línea), rol de la tercera línea, independencia de la tercera línea y creación y protección de valor.
Las tres líneas y el órgano de gobierno

Modelo de las Tres Líneas · IIA 2020
La dirección agrupa a la primera y la segunda línea: ambas gestionan el riesgo, una en la operación diaria y la otra con pericia especializada. Auditoría interna queda fuera de esa cadena y le reporta directamente al órgano de gobierno. Los proveedores externos de aseguramiento, como la auditoría externa y los reguladores, complementan esa visión desde fuera de la organización.
La tercera línea: qué hace auditoría interna
La tercera línea brinda aseguramiento y asesoría independientes y objetivos sobre la adecuación y eficacia del gobierno, la gestión de riesgos y el control. Su cliente principal no es la gerencia: es el órgano de gobierno.
Tres atributos la definen:
1. Independencia. Auditoría interna reporta funcionalmente al directorio o al comité de auditoría, y solo administrativamente a la gerencia general. El directorio aprueba su estatuto, su plan y su presupuesto, y participa en el nombramiento y la remoción del responsable.
2. Objetividad. El auditor no diseña ni opera los controles que luego evalúa. Si lo hace, pierde la distancia necesaria para opinar.
3. Enfoque en riesgos. El plan anual no se arma por rotación de áreas, sino según dónde están los riesgos que más pueden afectar los objetivos de la organización.
Dos tipos de servicio:
• Aseguramiento: evaluaciones con una opinión o conclusión sobre procesos, controles, cumplimiento o información. Por ejemplo, la eficacia del control de recaudación en sucursales.
• Asesoría (consultoría): acompañamiento a la dirección, como opinar sobre el diseño de controles de un nuevo sistema antes de su puesta en marcha. Aquí el auditor aconseja, pero no asume responsabilidades de gestión.
Desde enero de 2025 rigen las Normas Globales de Auditoría Interna del IIA, que reemplazaron al anterior Marco Internacional para la Práctica Profesional (IPPF). Refuerzan el mandato de la función, el rol del directorio en respaldarla y la exigencia de que auditoría interna aporte valor estratégico, no solo cumplimiento.
Errores frecuentes y señales de alerta
En la práctica, la tercera línea se debilita casi siempre por las mismas razones:
Señal de alerta Por qué es un problema
El auditor interno reporta al gerente financiero Termina auditando a su propio jefe; la independencia es solo de papel
Auditoría interna aprueba pagos, concilia cuentas o arma procedimientos Asume funciones de primera línea y luego no puede evaluarlas con objetividad
El plan se repite igual cada año No responde a riesgos nuevos: sistemas, fraude digital, lavado de activos
Los hallazgos quedan en el informe y nadie hace seguimiento El directorio no sabe si los riesgos se corrigieron
El comité de auditoría solo se reúne para aprobar estados financieros La tercera línea pierde a su principal interlocutor
Auditoría interna es "el departamento de un solo auditor" sin recursos La cobertura real del riesgo es mínima
Una confusión muy común es asumir que la auditoría externa reemplaza a la interna. No es así: el auditor externo opina sobre los estados financieros para terceros; el interno evalúa procesos, riesgos y controles de manera continua para el directorio.
Fraude y lavado de activos: el aporte de la tercera línea
En fraude, auditoría interna no es la responsable de prevenirlo; esa responsabilidad es de la dirección. Su rol es evaluar si los controles antifraude están bien diseñados y funcionan, y estar atenta a indicadores de fraude en cada trabajo. Cuando hay sospecha fundada, el caso suele derivarse a una investigación forense especializada.
En materia de prevención de lavado de activos y financiamiento del terrorismo, el esquema en Paraguay se ve así:
• Primera línea: las áreas comerciales y operativas que conocen al cliente y registran las operaciones.
• Segunda línea: el oficial de cumplimiento, que diseña la política de debida diligencia, monitorea operaciones y reporta a la SEPRELAD.
• Tercera línea: auditoría interna, que verifica de forma independiente que el programa de cumplimiento funcione, sin reemplazar al oficial de cumplimiento.
En el sector público, el Modelo Estándar de Control Interno (MECIP) recoge la misma lógica: control de la gestión por parte de cada institución y evaluación independiente por parte de sus unidades de auditoría interna.
Un programa de cumplimiento que nunca fue auditado de manera independiente es, en los hechos, un programa sin verificar.
Conclusión
Una tercera línea sólida no se mide por la cantidad de informes que emite, sino por la confianza que le da al directorio para decidir. Para lograrlo necesita tres cosas: independencia real, un plan basado en riesgos y un órgano de gobierno que la escuche y le dé seguimiento.