Las 10 reglas para prevenir el fraude en empresas (y la pregunta que las vuelve reales)

La mayor parte del fraude en las empresas no se evita con sistemas sofisticados, sino con diez controles básicos ejecutados con disciplina, por la persona correcta y con la fuente correcta. Esta es la lista — y la forma de aplicarla en una empresa que paga en segundos, factura electrónicamente y trabaja a distancia.

Cuando una empresa descubre un fraude, casi siempre encuentra dos cosas: que el esquema era simple y que un control básico lo habría detectado en semanas. No faltaba tecnología; faltaba disciplina en diez rutinas que cualquier organización —de quince empleados o de mil— puede ejecutar sin comprar nada. Estas son las diez reglas. Cada una viene con la forma concreta de aplicarla hoy, en un entorno donde el dinero sale por sistemas de pago inmediato, la factura la valida la autoridad tributaria, el ERP registra quién hizo qué y buena parte del equipo trabaja desde su casa.

Y al final, la regla que atraviesa a las otras diez — porque el fraude rara vez entra por el control que falta; entra por el que existe en el papel y no en la práctica.

1Conciliación bancaria diaria e independiente

Por el banco pasa casi todo el dinero que entra y sale de la empresa. Conciliar a diario —no a fin de mes— es la forma más barata de ver un desvío cuando todavía se puede reaccionar. Pero con pagos inmediatos el dinero ya salió cuando se concilia, y si quien concilia es la misma persona que paga, la conciliación es un documento preparado por quien debería ser controlado.

2Cortes diarios que nadie pueda reabrir

Tres cortes cierran el día: caja y cobranza, cuentas por pagar e inventarios. El corte es lo que impide que un faltante de hoy se cubra con el ingreso de mañana. El sistema hace el corte solo; el riesgo está en que se pueda reabrir: usuarios con permiso para modificar periodos cerrados, ajustes «temporales» que nadie revierte, operaciones registradas con fecha del día anterior.

3Inventarios cíclicos guiados por el comportamiento

El inventario anual completo descubre el faltante once meses tarde. Contar de forma cíclica, sin parar la operación, lo descubre en semanas. La clave está en qué se cuenta: no solo lo que vale más, sino lo que más se ajusta. El sistema ya sabe qué productos tienen ajustes frecuentes y qué usuario los hace siempre.

4Control de documentos: notas crédito y lo que sigue en papel

La facturación electrónica validada por la autoridad tributaria hizo casi imposible el talonario paralelo. El riesgo documental se movió a dos lugares: las notas crédito, que son la forma moderna de borrar una venta ya cobrada, y los documentos que aún viven en papel o en PDF —recibos de caja, cotizaciones, órdenes de compra, actas de entrega— que hoy se falsifican con un editor y sin imprenta.

5Confirmación con terceros que el tercero responda de verdad

Preguntarle al cliente cuánto debe y al proveedor cuánto se le debe es la única forma de saber si los cobros se aplicaron donde debían y si los pagos llegaron a quien debían. La confirmación pierde todo su valor cuando los contactos los proporciona el mismo empleado que se quiere verificar. Y hay un fraude que ninguna confirmación de saldo detecta: el cambio de cuenta bancaria del proveedor solicitado por un correo que parece del proveedor y no lo es.

6Vigilancia de datos maestros y de las salidas de cartera

En un sistema integrado, cuentas por cobrar y por pagar no se desvían en el registro: se desvían en los datos maestros. El proveedor creado con la cuenta bancaria de un empleado, el cliente con crédito ilimitado, el mismo tercero con dos códigos distintos. Y la cartera tiene una salida silenciosa: el castigo o la reestructuración que oculta un recaudo que alguien se apropió.

7Conocer a quien ocupa un cargo sensible

Saber a quién se contrata para los cargos que manejan dinero, inventario, datos maestros o accesos de administrador es un control preventivo real que casi nadie ejecuta: las referencias se piden y no se llaman, los títulos se archivan y no se verifican. La verificación debe ser proporcional al riesgo del cargo y respetar las leyes de protección de datos personales: verificar de más es hoy un riesgo tan real como verificar de menos.

8Deudores diversos, anticipos y gastos por comprobar, envejecidos cada mes

Es la cuenta donde se estacionan los pagos duplicados, los préstamos informales y los faltantes que nadie quiere reconocer. Los gastos ya no se comprueban con tickets grapados sino con fotos y PDF cargados a una aplicación: el mismo comprobante se puede cargar dos veces, editar o generar. Y el trabajo remoto trajo gastos nuevos —conectividad, equipos, viáticos híbridos— que muchas políticas todavía no contemplan.

9Revisión de nómina por altas, bajas y cuentas, no por el total

La nómina es el gasto más grande de la mayoría de las empresas y el lugar donde viven los empleados fantasma, los salarios inflados y las horas extras que nadie trabajó. Con la dispersión automática, el empleado fantasma ya no necesita recoger un cheque: solo necesita una cuenta bancaria. Y con equipos remotos, «existir» ya no se verifica viendo a la persona en la planta.

10Verificación de impuestos contra la fuente

El impuesto «pagado» que nunca llegó a la autoridad es uno de los fraudes de mayor daño, porque la empresa lo descubre con una sanción. La buena noticia es que la autoridad tributaria hoy tiene en línea el detalle de lo que la empresa facturó, lo que le facturaron y lo que pagó. La verificación ya no depende de los comprobantes que entrega el área de impuestos: se hace contra la fuente.

+La regla que atraviesa a las otras diez

Si se leen las diez reglas seguidas aparece un patrón. El fraude casi nunca entra por el control que no existe; entra por el que existe y lo ejecuta la persona equivocada con la fuente equivocada: la conciliación que hace el pagador, la confirmación que responde el cobrador, la verificación de impuestos con los comprobantes que entrega quien declara. Cada regla de esta lista tiene una versión que cumple el procedimiento y no controla nada.

La regla que atraviesa a las otras diez cabe en una frase: todo control lo ejecuta alguien que no opera la transacción, con un dato que no produce el operador. Si una empresa de quince empleados no puede cumplirla en todos los frentes, la versión mínima es que el dueño reciba las alertas del banco en su celular y tenga acceso de solo lectura al portal bancario y al de la autoridad tributaria. Son dos accesos, cuestan cero y cubren la mitad de esta lista.