El fraude interno representa una amenaza importante para las organizaciones, por ser esta causa de daños patrimoniales de miles de millones de dólares; sus manifestaciones más comunes son la malversación de fondos y la apropiación indebida de bienes o servicios.A diferencia del atacante externo, los empleados de una empresa poseen conocimiento y disponen de mayores oportunidades para explotar vulnerabilidades existentes. Por esta razón, el fraude interno sigue siendo altamente costoso y difícil de identificar, el ambiente de control interno, la cultura organizacional de prevención y la ejecución rápida de acciones asertivas al presentarse situaciones de este tipo, son fundamentales para su minimización.
Acciones de mitigación del riesgo de Fraude Interno
En términos prácticos, existen dos acciones fundamentales en la mitigación del fraude interno, prevención y detección.
Prevención
Consiste en desarrollar controles para impedir que las situaciones de fraude interno ocurran y reducir las oportunidades de uso sin autorización de los recursos de la organización.
Dentro del espectro de controles de prevención de fraudes se incluye la revisión de referencias en procesos de reclutamiento de personal, establecer políticas, procedimientos y segregación de funciones claramente definida, mantener supervisión constante, entrenamiento en prevención de fraudes y cultura corporativa de gestión de riesgos.
Detección
Dado que los sistemas de control pueden ser tarde o temprano evadidos, detectar actividades irregulares tan pronto como sea posible es extremadamente importante.
Para ello, la detección aplica controles diseñados para alertar al personal apropiado cuando se presentan circunstancias asociadas con actividades fraudulentas.
Esto incluye desde mecanismos de auditoría interna hasta canales directos para reportar fraudes de manera anónima.
Existen herramientas de detección computarizada que son capaces de revisar grandes volúmenes de datos, identificando patrones sospechosos en la data, aislando los casos que requieran de una investigación más detallada.
Además, existen metodologías y herramientas informáticas que ayudan a los auditores a identificar posibles situaciones de fraude interno, siendo el objetivo primordial el obtener evidencia suficiente para sustentar las situaciones irregulares detectadas y realizar sus recomendaciones.
Puesta en operación de los mecanismos de control
Una vez que la organización conoce y ha definido políticas respecto a los riesgos y al perfil de los posibles perpetradores, debe implementar mecanismos que mitigarán el riesgo de fraude interno.
Entre dichos mecanismos destacan:
· Definir e implantar una política funcional contra el fraude, que involucre a la unidad de tecnología de información (TI) con las demás unidades de la organización.
· Establecer las definiciones de controles de acceso y seguridad informática como parte vital de las políticas y procedimientos asociados a la tecnología de información, incluyendo la creación de la función de seguridad de activos de información.
· Definir e implantar contratos de responsabilidad del empleado, conocidos por todo el personal de todos los niveles de la organización.
· Mantener al tanto a los auditores externos de todos los riesgos presentes en la organización, incluyendo los proyectos en ejecución que tengan impacto sobre el ambiente de tecnología de información y el negocio.
· Definir e implantar un esquema de segregación de funciones y definición de roles y responsabilidades, donde el lineamiento principal sea que las funciones de adquisición de compromisos y la autorización de transacciones monetarias correspondientes, no descansen en un número limitado de personas.
· Implementar programas de inducción y entrenamiento orientados a crear una cultura organizacional de gestión de riesgos y prevención del fraude interno.
· Mantener canales de comunicación apropiados donde los empleados puedan reportar cualquier sospecha de manera anónima.
Es recomendable seguir ciertos lineamientos para fomentar la integridad y la ética de los empleados de la organización.
Entre dichas acciones destacan:
· Definir y elaborar códigos de conducta debidamente divulgados, que involucren al personal de todos los niveles.
· Evitar la presión para cumplir con metas de rendimiento no realistas, por ejemplo situaciones en las que la presión está relacionada con resultados a corto plazo y donde la compensación está basada en lograr dichos objetivos.
· Descripciones de trabajo formales o informales que definan las tareas que comprenden trabajos específicos, debidamente comunicadas a los empleados, definiendo claramente las responsabilidades de cada individuo.
· Análisis del conocimiento y destrezas necesarios para realizar trabajos de manera adecuada, el cual es particularmente importante en el actual ambiente de tecnología de información, que cambia constantemente de manera vertiginosa.
Más allá de reforzar el ambiente de control interno, es primordial fomentar una cultura organizacional de altos estándares de integridad y ética, lo cual maximiza la acción de los mecanismos orientados a mitigar el riesgo de fraude.
En ese sentido, acciones como las siguientes son recomendables:
· Puesta en operación de mecanismos de control apropiados en niveles ejecutivos
· Introducción de un código de conducta corporativo
· Aplicación pública de políticas de “cero tolerancia” y “no excepciones”· Impulsar una investigación oportuna de fraudes e irregularidades
· Aplicar medidas disciplinarias de acuerdo al grado de la falta
Casos de estudio
En esta sección se expondrá dos eventos de fraude interno ocurridos en el país. Para guardar la confidencialidad de la información no se revelarán fechas u organizaciones donde se presentaron estas situaciones, las cifras se presentarás en Dólares Norteamericanos (USD).
Fraude en ventas y cobranzas de empresa manufacturera y distribuidora
Durante un tiempo considerable, un vendedor de una empresa manufacturera y distribuidora, desvió una serie de pagos efectuados por sus clientes, aprovechando vulnerabilidades que existían en la estructura organizacional, ambiente de control interno y sistemas informáticos.
Cuando sucedió este hecho, la empresa en sus políticas y sistemas informáticos definía dos formas de pago para sus clientes: dinero en efectivo y cheque.
Además, existía una política de descuento por pronto pago.
El principal mecanismo empleado por el vendedor consistía en registrar pagos parciales de facturas canceladas en cheque, utilizando el monto restante para cancelar otras facturas por montos menores, pertenecientes a clientes que pagaban en efectivo.
Al recibir el pago en efectivo de estas últimas facturas, el vendedor se apropiaba del dinero.
Los saldos restantes en las facturas cuyos pagos eran desviados, eran cubiertos utilizando nuevos pagos en cheque o mediante el registro de ajustes de descuentos por pronto pago fraudulentos.
De esta manera el vendedor no permitía facturas pendientes por mucho tiempo, ocultando sus acciones del departamento de cobranzas y de contraloría.
Utilizando este esquema, el vendedor ocasioné pérdidas por el orden de los 370.000 Dólares. Sus actividades fueron detectadas cuando cometió un error y permitió el envejecimiento excesivo de una factura no cancelada.
Entre las principales razones que permitieron la ocurrencia de este evento podemos mencionar:
· La función de venta de productos y recepción de pagos estaba centralizada en una única función (el vendedor).
· El sistema permitía ingresar pagos fraccionados, asociados a múltiples clientes.
· El sistema permitía registrar pagos en cheque pertenecientes a clientes cuya modalidad de pago es efectivo y viceversa.
· El sistema no aplicaba limites razonables para los ajustes de descuento por pronto pago.
Fraude en pedidos, despachos y facturación de empresa manufacturera
Una compañía manufacturera, disponía de sistemas de información, pero mantenía otros procesos de forma manual, como la elaboración de notas de entrega y algunos procesos de facturación.
Actividades importantes como la elaboración de facturas comenzaban manualmente, siendo registradas en el sistema al ocurrir el despacho de mercancía.
Ciertos miembros del personal implementaron un mecanismo de fraude interno que consistía en el registro de empresas de su propiedad, para luego proceder al registro de pedidos, emisión manual de la factura, elaboración manual de la nota de despacho, despacho de mercancía y omitiendo al final el registro de la factura correspondiente en el sistema.
Para lograr esto, existía complicidad con el personal encargado del registro de las facturas en el sistema, lo que les permitía omitir el registro de ciertas facturas, evadiendo así la cobranza de los despachos de mercancía realizados.
Para el momento en que fue detectada la irregularidad, el daño patrimonial a la organización rondaba por el orden de los 550.000 Dólares y sólo fueron detectados después del cierre de un ejercicio cuando ya era demasiado tarde.
Conclusión·
Las estadísticas sobre las incidencias de fraude demuestran que actualmente un importante enemigo está en casa, por lo cual, las organizaciones deben mantener sus mecanismos de prevención y detección enfocados a combatir al enemigo interno.
- Personas ajenas a la organización no poseen el grado de conocimiento ni tienen tan amplias oportunidades para explotar las vulnerabilidades de los sistemas de control como los empleados, quienes conviven diariamente con el ambiente de control, con amplio conocimiento de cuáles son sus fallas y cómo aprovecharlas sin ser detectados.
· Además, el riesgo de fraude interno se incrementa significativamente en ambientes automatizados, ante la ausencia de controles implícitos y estadísticos.
Una vez que una falla es detectada por un intruso, puede ser utilizada indefinidamente, sobre todo si no existe monitoreo de las transacciones en sistemas informáticos.
· Dado que los sistemas de control eventualmente serán vulnerados, las organizaciones necesitan implantar controles de monitoreo y mecanismos de diagnóstico de actividades indebidas, con la finalidad de detectar las irregularidades tan pronto como sea posible y tomar las medidas requeridas para solventar la situación y prevenir que ocurra de nuevo.
· Para lograr esto, las organizaciones cuentan con metodologías y herramientas de auditoría que pueden emplear para diagnosticar la eficiencia y efectividad de los controles en operación y corregir las situaciones potencialmente riesgosas.
Conducir una auditoría constante, orientada a detectar debilidades en los procesos, además de verificar la validez y exactitud de las cifras es clave para mitigar el riesgo de fraude interno.
· Para lograr estos objetivos, se hace necesario involucrar a todo el personal de todos los niveles de la organización, pues son ellos quienes están involucrados diariamente en las operaciones y probablemente serán los primeros en notar cualquier situación irregular.
Por lo tanto es extremadamente importante invertir recursos en crear una cultura de gestión de riesgos, que permita niveles máximos de mitigación.
· La introducción de una política contra el fraude interno puede influir sobre muchos aspectos claves, inclusive puede perturbar el ambiente organizacional durante algún tiempo.
Sin embargo, debido a los daños significativos que situaciones de este tipo pueden generar, se trata de un problema que no puede ser ignorado.
Espiñeira, Sheldon y Asociados, Firma miembro de PricewaterhouseCoopers-->
Miércoles 15 de Octubre de 2003
