Un buen número de auditorías han demostrado que la efectividad de los sistemas de gestión no está dada en función de los elementos y herramientas que contiene, sino de contexto cultural en que estas se aplican. Hoy no son suficientes las acciones técnicas y administrativas para el control de los riesgos (controles, procedimientos, comportamientos...), si, al mismo tiempo, no se tienen estrategias para invertir la conciencia individual (mundo cultural), donde está lo que predispone a la acción y posibilita los resultados.