Hay una respuesta que escucho con frecuencia cuando se analiza por qué una institución pública tuvo fallas de control: «Es que no se cumplió el MECIP». La frase asume que el problema es de incumplimiento. Que si la norma se hubiera aplicado, el resultado habría sido otro. Esa lectura es parcialmente verdadera y completamente insuficiente.
El MECIP —Modelo Estándar de Control Interno para Instituciones Públicas del Paraguay— es un marco técnicamente sólido. Establece cinco componentes estructurales: ambiente de control, planificación, implementación, información y comunicación, y evaluación. Obliga a la identificación y tratamiento de riesgos. Define la jerarquía entre controles preventivos, detectivos y correctivos. Exige separación de funciones como condición de diseño. Si se aplicara en su integridad, produciría instituciones con capacidad real de control. El problema es que casi nunca se aplica en su integridad.
Lo que ocurre en la práctica
Lo que se implementa con mayor frecuencia no es el MECIP como sistema: es el MECIP como procedimiento de cumplimiento formal. La diferencia no es menor. Un sistema de control interno diseñado como arquitectura de decisiones produce trazabilidad, detección temprana de desvíos y corrección continua. Un sistema de control interno diseñado como cumplimiento formal produce documentación, actas, manuales y carpetas de auditoría que no necesariamente reflejan lo que ocurre en la operación.
El MECIP establece con claridad que el control interno «no es un evento. Es una serie de acciones que ocurren a lo largo de las operaciones». Esa definición es central. El control no ocurre en el momento de la auditoría: ocurre, o no ocurre, en cada decisión operativa del ciclo de ejecución. Cuando se diseña el sistema de control como un evento de cumplimiento —una revisión anual, una carpeta entregada a la Contraloría— se produce exactamente lo contrario de lo que la norma exige.
El punto de quiebre está en el diseño
La Ley 1535/1999 establece en sus artículos 59° y 60° la estructura del sistema de control público: define el control interno como responsabilidad de la propia institución y el control externo como atribución de la Contraloría General de la República. Esa distribución tiene una lógica precisa: el control interno debe actuar antes, durante y después de cada operación. No como verificación posterior, sino como condición de la operación misma.
Cuando el control interno se diseña correctamente, funciona como parte de la cadena de ejecución. Un funcionario que autoriza un gasto lo hace dentro de un marco de controles que definen su competencia, documentan su decisión y registran el acto en el sistema. La trazabilidad no es un resultado del control: es la evidencia de que el control funcionó en tiempo real. Pero cuando el diseño falla —cuando los controles se concentran en el cierre del ejercicio o en la revisión documental post-operación— la trazabilidad aparece fabricada, no construida.
El MECIP identifica tres fundamentos que debe sostener cualquier sistema de control interno real: autocontrol, autogestión y autorregulación. Los tres suponen que la institución internaliza el control como parte de su funcionamiento, no como una exigencia externa que cumplir periódicamente. Esa internalización requiere diseño, no voluntad.
Lo que el diseño institucional determina
El ambiente de control —primer componente del MECIP— define el tono desde la conducción. Si la Máxima Autoridad trata el sistema de control interno como un requisito burocrático, toda la estructura institucional leerá la señal correctamente y lo tratará de la misma manera. Si en cambio el liderazgo institucional integra el control a la gestión estratégica, los niveles operativos tienen un marco real para actuar.
La gestión por procesos, el segundo eje del componente de planificación, es donde el diseño se vuelve concreto. Un mapa de procesos bien construido define entradas, salidas, responsables e indicadores para cada operación. Cuando ese mapa existe y es operativo, cada decisión del ciclo de ejecución ocurre dentro de un recorrido institucional definido. Cuando no existe —o existe solo en papel— las decisiones ocurren de todas formas, pero sin marco de control previo ni registro trazable.
La separación de funciones, que el MECIP establece como criterio de diseño estructural, tampoco es un principio que se respete automáticamente. Requiere decisiones explícitas sobre qué funciones son incompatibles, qué controles compensan cuando la separación no es posible y quién tiene autoridad de aprobación en cada etapa. Esas decisiones son de diseño institucional. No se resuelven con un manual: se resuelven con una arquitectura de autorización que opera en el sistema.
Cuando el control se convierte en otra cosa
He visto instituciones con manuales de procedimientos exhaustivos que, en la práctica, no eran consultados por nadie. He visto planes de gestión de riesgos elaborados con metodología rigurosa que nunca fueron integrados a la toma de decisiones operativa. He visto auditorías internas cuyos informes describían correctamente los desvíos pero no tenían mecanismos institucionales para generar corrección.
En todos esos casos, el problema no era la ausencia de norma. Era la ausencia de diseño. El MECIP estaba técnicamente presente y operativamente ausente.
La diferencia entre un sistema de control que funciona y uno que no es, en buena medida, la diferencia entre un sistema diseñado para operar en tiempo real dentro del ciclo de ejecución y uno diseñado para ser verificado ex post como evidencia de cumplimiento.
El control que no interrumpe no controla
Un sistema de control interno que no tiene capacidad de interrumpir una decisión incorrecta antes de que ocurra no es un sistema de control: es un sistema de documentación. Puede registrar lo que pasó. Puede describir el desvío. Puede producir un informe. Pero no corrigió nada, porque llegó tarde.
El control previo —que la Ley 1535 y el Decreto 8127 establecen como condición del ciclo de ejecución— existe precisamente para esto: para actuar antes del acto, no después. Cuando el control previo funciona como condición técnica de la operación, el sistema de ejecución no puede avanzar sin que la decisión haya sido validada dentro del marco de autorización definido. Eso es control que controla.
El MECIP da el marco. La Ley 1535 da la estructura. Lo que determina si el control interno funciona o no es el diseño con el que se implementa. No la norma que lo establece.
Rubén Ayala