El nivel de madurez lo autorreporta cada empresa en el diagnóstico y mide formalización, no cumplimiento legal: una empresa puede estar al día con sus obligaciones tributarias y aun así no tener mapeados sus riesgos operacionales, financieros o reputacionales, que es lo que este ámbito evalúa. A eso se suma que un tercio de las empresas no logra confirmar en el diagnóstico si cuenta con políticas formales vigentes, y una proporción similar no confirma si realiza auditorías internas o externas periódicas más allá de la tributaria; esa falta de respuesta es en sí misma parte del hallazgo, no un dato faltante cualquiera. La muestra son empresas medianas que ya se sometieron a un diagnóstico de gestión, así que el resto del universo de medianas empresas podría estar en una posición similar o más rezagada.
El control de riesgo se queda en el segundo peldaño
La gran mayoría de las empresas está apenas en el segundo de cinco niveles de madurez en riesgo y control, y menos de una de cada diez llega al nivel 'Definido'. Un tercio no logra confirmar si tiene políticas formales vigentes ni si realiza auditorías más allá de lo tributario.
86%
de las empresas está apenas en el nivel 'en desarrollo' de riesgo y control
- Prevalencia
- 86% de la muestra
- Prioridad
- Alta prioridad
- Muestra del tema
- 94 empresas
- Snapshot
- 09-11-2026
La evidencia
Nivel de madurez del ámbito de riesgo y control (1 a 5). Menos de una de cada diez empresas llega al nivel 3, 'Definido'.
Los grupos bajo el umbral de publicación no se informan como número.
EIS Insights · snapshot 2026-08-17 · n=93
01
Cómo se interpreta
Qué dice el dato, qué no dice y con qué cuidado conviene leerlo.
02
Qué hacer
En el orden en que suelen rendir. Ninguno exige un sistema nuevo.
- 01
Construir un mapa de riesgos básico con los 8 a 10 riesgos más relevantes del negocio, sin esperar a tener metodología formal.
- 02
Definir qué políticas son efectivamente obligatorias para el rubro y formalizar por escrito las que falten, aunque sea en una versión mínima.
- 03
Agendar al menos una auditoría periódica no tributaria al año, interna si no hay presupuesto para una externa.
- 04
Asignar la responsabilidad de riesgo a un rol específico y visible, en vez de dejarla difusa entre gerencia general y contabilidad.
03
La mirada de Compite
Criterio del equipo, no lectura del dato.
En la mayoría de las empresas medianas el 'control interno' se reduce a lo que revisa el contador para efectos tributarios; el riesgo operacional, el de continuidad del negocio y el reputacional casi nunca están mapeados. El error más común es partir por contratar una auditoría externa antes de tener un inventario propio de riesgos: sale más caro, toma más tiempo y termina revisando lo que la empresa ya sabía en vez de lo que necesitaba descubrir. Conviene invertir el orden y partir por un ejercicio interno simple.
Equipo Compite
Para seguir leyendo
Insights relacionados
Los artículos del observatorio que trabajan sobre las mismas métricas.
Mismo tema
Otros desafíos de Gobernanza
La operación se detiene si el fundador no está
1 de cada 5
de las empresas activa el guardrail de dependencia total del fundador, sin plan de reemplazo
Un grupo relevante de empresas medianas admite que la operación se detendría si la persona fundadora dejara de estar disponible, sin ningún plan de reemplazo identificado. Es el guardrail más severo del instrumento y por sí solo limita el puntaje de todo el tema de gobernanza.
Nadie sabe por escrito quién aprueba qué
1 de cada 5
de las empresas no logra confirmar si tiene una matriz de autoridad escrita
Un grupo relevante de empresas no logra confirmar en el diagnóstico si cuenta con una matriz de autoridad escrita: quién aprueba qué, hasta qué monto y con qué respaldo. Es una de las brechas de estructura y roles que más aparece como recomendación en los diagnósticos de gobernanza.
Decisiones estratégicas sin ningún registro formal
1 de cada 7
de las empresas no registra de ninguna forma sus decisiones estratégicas
Una porción acotada pero relevante de las empresas no deja ningún registro formal de sus decisiones estratégicas: ni acta, ni minuta, ni bitácora. El instrumento activa por eso un tope al puntaje del ámbito de estructura de gobierno.