Control Interno

Podcast:

Por: Equipo Auditool

La segregación inadecuada de funciones es el talón de Aquiles de muchas organizaciones. Aunque conocemos la teoría, la práctica nos enfrenta a limitaciones reales que hacen que ciertas combinaciones riesgosas persistan en nuestros ambientes de control.

La realidad detrás de la teoría

Como auditores, sabemos que la segregación de funciones es fundamental para prevenir fraudes y errores. Sin embargo, las limitaciones de personal, presupuesto y estructura organizacional crean un campo minado donde ciertas combinaciones "tóxicas" persisten día tras día.

El Fraud Examiners Manual es claro: ninguna persona debe tener control sobre todas las fases de una transacción. Pero ¿qué hacemos cuando la realidad operativa choca con esta premisa ideal?

Las 7 combinaciones más tóxicas (y comunes)

1. Ventas: El vendedor todoterreno

Combinación tóxica: Generación de órdenes + autorización de crédito + procesamiento de facturas + manejo de cobranza

Por qué persiste: En empresas medianas, los "account managers" manejan la relación comercial integral con el cliente.

Riesgos materializados:

• Ventas ficticias para alcanzar metas
• Descuentos no autorizados
• Manipulación de términos de crédito
• Ocultamiento de cuentas incobrables

Controles compensatorios:

• Revisión analítica mensual de márgenes por vendedor
• Confirmación aleatoria de clientes (30% trimestral)
• Aprobación dual para descuentos superiores al 10%
• Reconciliación independiente de comisiones vs. cobranza real

2. Compras: El comprador con poderes absolutos

Combinación tóxica: Solicitud de compras + selección de proveedores + autorización de órdenes + recepción de bienes

Por qué persiste: Departamentos de compras pequeños donde el "experto" conoce proveedores, precios y especificaciones técnicas.

Riesgos materializados:

• Esquemas de kickbacks con proveedores
• Compras personales cargadas a la empresa
• Proveedores fantasma o relacionados
• Sobrefacturación sistemática

Controles compensatorios:

• Rotación trimestral en la selección de proveedores clave
• Validación independiente de precios (muestreo 20%)
• Segregación física: recepción debe ser independiente
• Revisión analítica de variaciones precio/cantidad por proveedor

3. Nómina: El controlador silencioso

Combinación tóxica: Mantenimiento de archivos de empleados + cálculo de nómina + autorización de cambios + distribución de pagos

Por qué persiste: La nómina requiere conocimiento especializado y confidencialidad, concentrando funciones en pocas personas.

Riesgos materializados:

• Empleados fantasma
• Manipulación de horas extras
• Alteración de tasas salariales
• Desvío de pagos a cuentas personales

Controles compensatorios:

• Aprobación dual obligatoria para nuevos empleados
• Reconciliación mensual de nómina vs. presupuesto por departamento
• Confirmación aleatoria de datos con empleados (10% mensual)
• Segregación: RRHH mantiene archivos, Contabilidad procesa pagos

4. Tesorería: El guardián del efectivo

Combinación tóxica: Manejo de cobranza + autorización de pagos + reconciliaciones bancarias + custodios de chequeras/tokens

Por qué persiste: La tesorería centralizada busca eficiencia en el manejo de liquidez y relaciones bancarias.

Riesgos materializados:

• Lapping schemes (esquemas de superposición)
• Cheques a proveedores ficticios
• Manipulación de reconciliaciones
• Transferencias no autorizadas

Controles compensatorios:

• Reconciliaciones bancarias revisadas por persona independiente
• Confirmaciones bancarias mensuales directas con el banco
• Límites de autorización escalonados (dual para montos altos)
• Arqueos sorpresivos de fondos menores

5. Tecnología: El administrador omnipotente

Combinación tóxica: Administración de sistemas + accesos de usuarios + desarrollo/modificaciones + respaldos/recuperación

Por qué persiste: Personal técnico limitado y la falsa percepción de que "TI no maneja dinero".

Riesgos materializados:

• Modificaciones no autorizadas a sistemas
• Creación de accesos de "puertas traseras"
• Manipulación de logs y auditorías
• Alteración de datos críticos

Controles compensatorios:

• Separación: desarrollo vs. producción (ambientes separados)
• Log de cambios con aprobación dual
• Revisión independiente de accesos de usuarios (trimestral)
• Monitoreo automatizado de actividades privilegiadas

6. Inventarios: El custodio registrador

Combinación tóxica: Custodia física + registro en sistema + autorización de salidas + conteos físicos

Por qué persiste: Almacenes pequeños donde el jefe de bodega "conoce todo el inventario".

Riesgos materializados:

• Hurto sistemático con ajustes en sistema
• Ventas paralelas de inventario
• Manipulación de conteos físicos
• Transferencias ficticias entre ubicaciones

Controles compensatorios:

• Conteos cíclicos por personal independiente
• Revisión analítica de rotación por producto
• Cámaras de seguridad en áreas críticas
• Segregación: operaciones maneja físico, contabilidad el registro

7. Activos fijos: El registrador-custodio

Combinación tóxica: Registro contable + custodia física + autorización de disposiciones + mantenimiento de seguros

Por qué persiste: Los activos fijos se perciben como "menos líquidos" y por tanto menos riesgosos.

Riesgos materializados:

• Venta no autorizada de activos
• Uso personal de activos de la empresa
• Seguros ficticios o inflados
• Depreciaciones manipuladas

Controles compensatorios:

• Inventarios físicos anuales por equipo independiente
• Aprobación dual para disposición de activos
• Verificación independiente de pólizas de seguro
• Etiquetado y control físico por ubicación

Estrategias pragmáticas para PyMEs

Cuando la segregación perfecta no es posible

1. Principio de rotación: Rote responsabilidades específicas entre el personal disponible, aunque sea temporalmente.

2. Supervisión intensificada: Cuando no puedes segregar, supervisa. Un control compensatorio fuerte puede ser tan efectivo como la segregación.

3. Controles automatizados: Use la tecnología para crear segregación artificial. Los sistemas pueden forzar flujos de aprobación que el personal limitado no permite.

4. Outsourcing estratégico: Considere externalizar funciones críticas donde la segregación es imposible (nómina, tesorería).

Marco de monitoreo continuo

Indicadores de alerta temprana

• Variaciones analíticas: Desviaciones superiores al 15% en ratios operativos
• Patrones de comportamiento: Empleados que nunca toman vacaciones o trabajan horas excesivas
• Excepciones sistémicas: Incremento en transacciones manuales o ajustes
• Quejas de terceros: Proveedores, clientes o empleados reportando irregularidades

Frecuencia de revisión

• Diaria: Reconciliaciones bancarias y movimientos de efectivo
• Semanal: Análisis de excepciones y transacciones inusuales
• Mensual: Revisión de controles compensatorios y análisis de tendencias
• Trimestral: Evaluación integral del ambiente de control

Implementación sin resistencia

La clave del éxito no está en imponer controles draconianos, sino en diseñar un sistema que balancee eficiencia operativa con mitigación de riesgos.

Pasos prácticos:

1. Mapee los procesos reales (no los ideales del manual)
2. Identifique las combinaciones más riesgosas en su contexto específico
3. Diseñe controles compensatorios factibles con los recursos disponibles
4. Implemente gradualmente, priorizando por impacto y probabilidad
5. Monitore la efectividad y ajuste según sea necesario

Reflexión final

La segregación de funciones perfecta es un ideal. La segregación efectiva es una realidad alcanzable. Como auditores, nuestro valor no está en señalar lo que falta, sino en diseñar soluciones prácticas que protejan a la organización sin paralizar sus operaciones.

Recuerde: Es mejor tener controles compensatorios robustos que segregaciones débiles o inexistentes. La clave está en la implementación inteligente, no en la perfección teórica.

La efectividad de los controles no se mide por su complejidad, sino por su capacidad de prevenir, detectar y corregir irregularidades en el mundo real.