Prevención del fraude interno: el rol clave de auditorías y canales de denuncia

El fraude interno tiene una característica que lo distingue de otros riesgos: lo comete alguien que conoce los controles desde adentro y sabe cuáles no se revisan. Por eso rara vez se detecta por casualidad, y por eso las empresas que lo descubren a tiempo suelen ser las que construyeron dos capacidades concretas: auditar con criterio y escuchar a quien avisa.

La auditoría interna, más allá del cumplimiento formal

Una auditoría que se limita a verificar que los papeles estén completos confirma la formalidad, no la integridad. La auditoría que detecta fraude es la que revisa lo que se aparta del patrón: proveedores nuevos con volumen inusual, aprobaciones fuera del circuito habitual, notas de crédito recurrentes, conciliaciones que se demoran siempre en la misma cuenta.

Dos condiciones hacen la diferencia. La primera es la independencia: quien audita no puede depender de quien es auditado. La segunda es la imprevisibilidad: un calendario conocido de antemano permite preparar lo que se va a mostrar.

El canal de denuncia y por qué suele fallar

La mayoría de los fraudes internos llega a conocimiento de la empresa por un aviso, no por un control automático. Sin embargo, muchos canales de denuncia se implementan y no se usan. Casi siempre por la misma razón: quien podría avisar no confía en lo que pasará después.

• Confidencialidad real sobre la identidad de quien reporta, sostenida por el procedimiento y no sólo por una promesa.
• Posibilidad de reportar de manera anónima, para los casos en que la confidencialidad no alcanza.
• Independencia respecto de la línea jerárquica que podría estar involucrada.
• Protección efectiva contra represalias, con consecuencias claras para quien las intente.
• Acuse de recibo y devolución sobre el estado del caso, aunque el detalle sea reservado.

El último punto es el que más se descuida y el que más rápido desactiva un canal: si el primer reporte no obtiene respuesta, no habrá un segundo.

Qué hacer cuando llega un reporte

La reacción inicial condiciona todo lo que sigue. Conviene tener definido de antemano quién recibe el reporte, quién decide si amerita investigación, cómo se preserva la evidencia y en qué momento interviene el asesoramiento legal. Improvisar ese circuito con el caso ya sobre la mesa suele costar la prueba.

Una investigación interna debe ser reservada, proporcional y respetuosa de los derechos de todas las personas involucradas, incluida aquella sobre la que recae la sospecha. Una investigación mal conducida no sólo puede frustrar la sanción: puede generar responsabilidad para la propia empresa.

El punto de partida

No hace falta un programa completo para empezar. Alcanza con mapear los procesos donde el dinero cambia de manos, identificar quién puede aprobar y ejecutar la misma operación, y habilitar una vía de reporte confiable. Esas tres medidas, sostenidas en el tiempo, cubren buena parte del riesgo real.