50

51

Colegio de Contadores Públicos de México

AUDITORÍA INTERNA

Introducción

En un sentido general, el fraude es un engaño cometido de ma-nera consciente, buscando el beneficio i nd ivid u a l, en perj u icio d e terceras perso nas físicas o morales. En las entidades econó-micas, dicho engaño implica disponer de efectivo, títulos de cré-dito, mercancías y otros activos, modificar registros contables, alterar archivos electrónicos y falsificar información documen-tal, entre otros actos similares.

Prevenir el fraude es parte de la administración integral de los riesgos a que están expuestas las organizaciones, esto es, el pro-ceso que combina recursos humanos, intelectuales, financieros, materiales y tecnológicos, para identificar, medir, analizar y mo-nitorear eventos que pueden desembocar en daños al patrimo-nio de la empresa e impedir el logro de sus objetivos.

52

EL FRAUDE EN LAS EMPRESAS

La prevención y detección del fraude es responsabilidad de la administración de la entidad e implica disenar e implantar me-canismos adecuados de control interno en todas las áreas de la empresa, incluyendo las accio-nes de toda índole que deben llevarse a cabo cuando ocurre un acto indebido como éste.

A su vez, Auditoría interna debe agregar valor a la enti-dad, sin comprometer su inde-pendencia, interactuando con el grupo directivo para opinar con objetividad sobre el pro-ceso de administración de ries-gos, impulsar proactivamente las mejoras y las adecuaciones que éste requiera y, en los casos de fraude, apoyar a la empresa en las investigaciones y análisis propios de su competencia.

De acuerdo con lo anterior, este artículo incluye considera-ciones generales sobre el frau-de y destaca de manera espe-cial las responsabilidades y la participación que debe tener el departamento de Auditoría interna cuando se presenta un evento de esta naturaleza.

La administración de los recursos humanos ha de-sarrollado mecanismos efi-caces para reclutar y selec-cionar personal. De acuerdo con las responsabilidades y funciones de cada puesto, se establecen requisitos sobre el

perfil, preparación, experiencia, aptitudes y valores morales de los candidatos; los estu-dios socioeconómicos, exáme-nes psicométricos y pruebas de toda índole se aplican para identificar las mejores opciones posibles; sin embar-go, el fraude sigue ocurriendo en modalidades que afectan patrimonialmente desde el efectivo, las cuentas por co-brar, las mercancías y los acti-vos fijos, hasta la información operativa y financiera que se encuentra en los archivos do-cumentales y electrónicos de la empresa.

En dicho escenario, hay un precedente que debe considerar el departamento de Auditoría interna para op-timizar sus funciones: el dia-mante del fraude, concepto que describe cuatro factores propios de las personas que cometen fraude y aporta in-formación valiosa para me-jorar los mecanismos de re-clutamiento y selección de personal, ya que los buenos antecedentes académicos, la riqueza de la experiencia profesional y los resultados satisfactorios de las pruebas psicológicas, no siempre ga-rantizan la autenticidad de los valores morales de un in-dividuo. Los cuatro factores del diamante del fraude son:

1. Motivación. Es el estímulo, incentivo o presión de cual-quier naturaleza que impulsa

a un individuo hacia el frau-de: saldar deudas persona-les, obtener el pago de un bono ejecutivo en función de resultados, conservar el puesto cumpliendo cuotas mínimas de ventas, y otros conceptos similares. Al que-dar fuera del alcance de un empleado o de un ejecuti-vo, dichos propósitos ame-nazan su estabilidad y pue-den conducirlo a cometer todos los actos indebidos que considere necesarios.

2. Oportunidad. Quien co-mete fraude percibe que hay un entorno propicio para ello. Los insuficientes o inexistentes mecanismos de control interno y de se-guridad operativa para prevenir, disuadir, mitigar o detectar oportunamente actos irregulares o atípicos, más la posibilidad de colu-dirse son factores de alto riesgo que alientan a po-tenciales defraudadores.

3. Racionalización. Quien está motivado y encuentra la oportunidad para cometer fraude está plenamente se-guro de tener éxito y de que no será descubierto, de lo contrario, no actuaría. Ade-más, está convencido de que sus actos son plenamen-te justificados, pues maneja una escala de valores distor-sionada y totalmente opues-ta a la de la empresa. Dicha racionalización es una excu-sa que puede originarse en la

53

insatisfacción por su sueldo, la falta de reconocimiento económico por supuestos méritos individuales y la com-paración prejuiciosa de sus cargas de trabajo con las de sus pares, entre otros factores similares que con frecuencia corresponden a una baja autoestima.

4. Capacidad. La persona que decide cometer un fraude ha ocupado un puesto en la empresa durante el tiem-po suficiente para conocer profundamente sus procesos y los controles internos res-pectivos. En el marco de su

racionalización, se aprovecha de los puntos vulnerables que ha identificado y utiliza su experiencia y conocimientos para lograr sus propósitos. En este vértice del diamante del fraude es frecuente encontrar personas con un alto coeficiente de inteligencia y sólida preparación profesional.

Considerando el entorno al que pertenece la entidad, el perfil de su estructura y la dependencia de sus controles internos en los recursos humanos, ciertos tipos de fraude muestran una recurren-cia significativa en el interior de las empresas. En forma enunciati-va y no limitativa se mencionan a continuación algunos de ellos:

a) Informaciónfinancierafraudulenta. Es consecuencia de ma-nipulaciones indebidas en los aplicativos del sistema de con-tabilidad, que implican violaciones a las normas de información financiera y producen cifras distorsionadas cuya lectura provo-ca errores en los usuarios. Ejemplos de ello son: ventas y gastos de operación ficticios, valuaciones incorrectas de activos fijos y

¿YA CONOCES NUESTRASPÓLIZAS DE SERVICIO?

• Instalaciones de las últimas versiones (las versiones mayores tienen costo).• Capacitación para los usuarios.• Carga y con�guración de sellos digitales para timbrado de documentos �scales.• Implementación de la empresa.• Soporte técnico ilimitado de lunes a viernes de 9:00 a 18:00 horas.

www.eecti.comtmk@eecti.com

Tel.: (55) 9000-2904

Estrategia Empresarial y Consultoría en TI, S.A. de C.V.WTC, Ciudad de México.Montecito No. 38, Piso 27, Ofna. 17,Col. Nápoles, C.P. 03810, Benito Juárez, D.F.

PÓLIZASDE3, 6 Y 12MESES

su cargo la vida de la empresa, así como las que corres ponden al Consejo de administra-ción y a Auditoría interna. Dichas líneas son:

1. Gestión operativa y ejercicio del control interno. Corresponde a los gerentes del negocio, que son duenos del control y administran los ries-gos. Se encarga del mantenimiento efectivo del control interno y de ejecutar procedimien-tos frente a los riesgos cotidianos; los identifica, evalúa, mitiga y controla; orienta el desarrollo e implantación de políticas, normas y sistemas y se asegura de que las actividades se lleven a cabo y sean compatibles con los objetivos de la empresa. También es responsable de im-plantar acciones correctivas para optimizar los procesos y eliminar las deficiencias de control.

2. Apoyo a la administración de riesgos. Diseño e implantación del control interno. Representado por las áreas a cargo de la supervisión opera-tiva, como Contraloría, Recursos humanos, Se-guridad, Calidad y otras similares, que facilitan y corroboran la implantación de las prácticas de gestión de riesgos emitidas por las geren-cias operativas. Ayudan a distribuir información adecuada sobre ellas hacia los cuatro puntos cardinales de la organización.

3. La función de Auditoría interna. Se concentra en cerciorarse de que la primera y segunda líneas de defensa cumplan correcta y opor-tunamente con sus responsabilidades; aporta aseguramiento sobre la eficacia del gobierno corporativo, previene, identifica y evalúa la gestión de riesgos, tanto en el diseno como en el cumplimiento del control interno e informa oportunamente al Consejo de administración.

En el marco de las tres líneas de defensa, es necesario senalar que la responsabilidad de di-suadir, prevenir y detectar un fraude, así como de las acciones administrativas y legales que de-rivan de ello, no corresponden a Auditoría inter-na sino a los propietarios del control y a la admi-nistración de la empresa.

54

circulantes, obligaciones y contingencias no reveladas, entre otros casos similares.

b) Malversación de recursos. Invertir o utilizar ilíci-tamente activos de la empresa para propósitos distintos a los que están destinados. El robo de efectivo, mercancías, documentos mercan-tiles, archivos con información estratégica, así como el empleo de equipos de transporte para fines personales, ilustran esta clase de fraudes.

c) Actos de corrupción. Abuso, mal uso o exceso en el ejercicio de facultades y funciones para obtener un beneficio personal en perjuicio de los recursos e intereses de la empresa. Este es uno de los tipos más amplios de fraude que comprende casos como el favorecer a un cliente o a un proveedor, llevar a cabo transac-ciones con partes relacionadas para conce-derles beneficios ilícitos, todo ello a cambio de privilegios individuales, dinero u otros recursos.

Otro punto a considerar es el denominado “fraude externo”, que corresponde a manejos ilícitos efectuados por personas que no trabajan en la empresa ni tienen vínculos de negocios con ella. Quienes acceden a los recursos de la enti-dad para disponer ilegalmente de ellos, se apro-vechan de la falta de mecanismos de control interno o de insuficientes medidas de seguridad tanto física como informática y frecuentemente utilizan el apoyo de algún empleado o ejecutivo de la empresa para lograr sus propósitos.

LÍNEAS DE DEFENSA FRENTE AL FRAUDEConsiderando los riesgos globales en el en-torno actual de los negocios, entre ellos el relativo al fraude, The Institute of Internal Au-ditors describe el modelo estructural para enfrentarlos, denominado Las tres líneas de defensa, cuyos fundamentos fortalecen las prácticas de un buen gobierno corporativo, pues marcan el límite de las responsabilida-des que deben asumir las áreas que tienen a

55

REACCIÓN DE LA EMPRESA ANTE UN FRAUDE

Las estructuras de control interno y su alianza con las tres lí-neas de defensa no son infalibles. El factor humano es decisi-vo, y cuando éste no cumple fielmente con sus responsabilida-des o decide actuar de manera indebida, suele ocurrir un fraude en cualquiera de sus modalidades. En estos casos, es recomen-dable tomar medidas de acuerdo a la naturaleza y características del fraude, el momento en que ha sido detectado y, desde luego, respecto al giro de la empresa. Asimismo, la empresa debe efectuar las acciones de la secuencia descrita a continuación:

1. Formación de un comité

Tiene el propósito de dimensionar el fraude, así como definir y coor-dinar todas las acciones que sean necesarias respecto a su origen, efectos, sanciones y aprovechamiento de la experiencia que im-plica. Está integrado por los funcionarios a cargo de las áreas in-volucradas en el fraude, entre ellas la que ha recibido su impacto directo.

Considerando la naturaleza de sus responsabilidades y funcio-nes, dichas áreas son: Recursos humanos, Finanzas, Jurídico y Au-ditoría interna, mismas que estarán presentes en todos los casos;

Dirección General, si el fraude es significativo y el área de Siste-mas de cómputo si las implicaciones lo ameritan.

Aunque las circunstancias respecto al fraude son deter-minantes en la estructura de este comité, tomando en cuen-ta que se trata de un acto ilícito, es recomendable que el liderazgo corresponda al área Jurídica con el apoyo directo de Recursos humanos.

Puesto que Auditoría interna conoce la estructura de la empresa y está familiarizada con sus fortalezas y debilidades operativas, su participación en el comité contribuye a definir el origen del fraude y las acciones institucionales que procedan.

Los principales postulados del comité son: cero toleran-cia respecto a los responsables del fraude, aplicación severa de todas las acciones necesarias conforme a la ley y que la restitución del monto defraudado no implica que la empresa esté dispuesta a suspender dichas acciones. Otorgar el per-dón bajo consideraciones sobre la cuantía del fraude o los buenos antecedentes laborales de los involucrados debilita los controles internos disuasivos y alienta a potenciales perpe-tradores.56

2.Definición de accionesrespecto al fraude

El directivo en cuya área ha ocurrido el fraude debe pre-sentar una descripción ob-jetiva y documentada sobre sus características, controles internos omitidos, monto del dano patrimonial causado e identidad de la persona o personas que lo han llevado a cabo. Los miembros del comi té, incluyendo a Audi-toría interna, aportan puntos de vista sobre los controles internos omitidos, implicacio-nes del fraude, efectos colate-rales y posible extensión o du-ración de ellos.

ii. Asignar dicha autentificación documental a Auditoría inter-na para que agilice el trabajo y contratar al perito contable independiente con el fin de que redacte el dictamen con apoyo del auditor y lleve a cabo la comparecencia y ratifi-cación ante las autoridades ministeriales.

En todo caso, es necesario que Auditoría interna se invo-lucre en el proceso de autentificar la evidencia documental sobre el fraude, para que identifique con precisión las fallas o deficiencias de los controles internos que lo hicieron posible.

Otra vertiente en la que Auditoría interna debe participar corresponde a los trámites ante las aseguradoras y afianzadoras, cuyos contratos las obligan al pago del quebranto derivado del fraude. Las indagaciones que dichas companías llevan a cabo no sólo incluyen la evidencia documental sobre el frau-de; también abarcan la evaluación de los sistemas y mecanis-mos de control interno respectivos, para lo cual la presencia y apoyo de Auditoría interna al área que tramita el pago ante dichas instituciones es indispensable.

Cuando se pide a Auditoría Interna un reporte derivado de su intervención sobre el origen y efectos de un fraude, es necesario que la redacción sea rigurosamente objetiva, limi-tada a describir hechos de su competencia profesional y con-tundentemente sustentados por la documentación respectiva, evitando con especial cuidado utilizar términos legales exclusi-vos de los abogados.

Si hay amenaza de que el origen del fraude se replique en otras personas o áreas pares de la empresa, es práctica fre-cuente que Auditoría interna lleve a cabo un examen dirigido a detectar y a cuantificar nuevos casos, incluyendo la identifica-ción de los responsables; sin embargo, las líneas de defensa también deben asumir su obligación de hacer efectivo el con-trol interno, cerciorarse de que la autorización y monitoreo de las transacciones se lleven a cabo, supervisar los segmentos de la operación que lo requieran, verificar la coincidencia de datos documentales y unidades físicas, entre otras funciones similares. Bajo este entorno, la disuasión se fortalece y, de existir, el fraude no permanece oculto.

3. Construcción a partir de la experiencia

Para fortalecer los controles internos disuasivos, el despido y otras sanciones a los responsables del fraude debe comunicarse al per-sonal de la empresa. Dicha comunicación debe ser institucional,

57

Por otra parte, se presentan casos de indicios de fraude en que se delega la responsabili-dad de desarrollar la investiga-ción a Auditoría interna, pues dichos indicios no bastan para identificar a los involucrados y, al permitir que el área afecta-da se investigue a sí misma, se corre el riesgo de encubrimien-to o destrucción de evidencias.

Asegurar la confidenciali-dad en torno al fraude es fac-tor indispensable con el fin de evitar interferencias sobre la oportunidad y los plazos que establecen las leyes para las acciones penales y laborales que serán emprendidas.

Las características y alcan-ce de ellas deben definirse por el área jurídica con la partici-pación de recursos humanos.

Respecto al inicio de di-chas acciones penales, la evi-dencia documental debe ser suficiente y contundente para demostrar el dano patrimonial causado a la empresa. En este sentido, es práctica frecuente que los miembros del comité ya mencionado, sugieran la inter-vención de Auditoría interna. Al respecto hay dos opciones:

i. Recurrir a un perito contable independiente que auten-tifique la evidencia docu-mental disponible, emita un dictamen sobre el dano patri-monial causado a la empresa y lo ratifique en su momento frente a las autoridades minis-teriales correspondientes.

58

preparada por Recursos humanos y aprobada por el área jurídica, con el fin de que incluya únicamente términos permitidos por la ley para salvaguardar la reputación de los involucra-dos. El mensaje debe ser claro en el sentido de que la empresa no tolera actos de corrupción, cualquiera que sea el monto de ellos.

Concluidas las actividades originadas por el fraude, el comité debe acordar y estable-cer compromisos formales sobre las acciones remediales, que son necesarias para prevenir y evitar nuevos casos. Dentro de dichas accio-nes puede mencionarse:

• Institucionalizar las fuentes de reclutamiento de personal.

• Modernizar los mecanismos de selección de candidatos.

• Implantar declaraciones firmadas por cada empleado respecto al compromiso de cum-plir los controles internos a su cargo.

• Efectuar estudios socioeconómicos anuales a empleados y ejecutivos cuyas funciones los exponen a conflictos de intereses.

• Reducir los plazos para el cambio de claves in-dividuales de acceso al sistema de cómputo.

• Ampliar la cobertura de equipos de televi-sión en circuito cerrado.

• Cambiar y ajustar los sistemas, procedimien-tos y métodos en los casos necesarios para mitigar o eliminar puntos débiles o suscepti-bles a malos manejos.

Los acuerdos constan en una minuta que incluye nombres y puestos de los responsables de cumplirlos, así como clara mención de los plazos respectivos. El seguimiento está a car-go del titular del área donde ocurrió el frau-de, quien debe informar oportunamente a los miembros del comité, incluyendo, por supues-to, a Auditoría interna.

En el marco de la experiencia derivada del fraude, Auditoría interna cuenta con nuevas

oportunidades para enriquecer la orientación de sus servicios: autentificar las acciones reme-diales aprobadas por el comité, evaluar la ca-pacidad de crecimiento de la empresa a partir de eventos adversos, y, desde luego, incluir al área que protagonizó el fraude en los referen-tes preliminares para su plan anual de auditoría basado en riesgos.

Conclusión

La administración de los riesgos que cotidiana-mente enfrentan las empresas es una de las res-ponsabilidades más importantes de la alta ge-rencia. Cada una de las áreas en la entidad es depositaria de los recursos necesarios para lograr sus objetivos y debe utilizarlos con esmero, con el fin de obtener de ellos el máximo beneficio posible.

En este sentido, mitigar, prevenir y detectar un fraude son funciones que deben asumir los propietarios del control. Así como la gerencia de Almacén es responsable de evitar que las mercancías entren o salgan indebidamente del área a su cargo y, en su caso, de investi-gar un faltante en el inventario hasta lograr su absoluta aclaración, todas las áreas de la em-presa enfrentan un compromiso de las mismas dimensiones y alcances respecto a sus tramos de control, pues son las propietarias de éste.

De acuerdo con lo anterior, cuando ocurre un fraude, la administración de la empresa debe trabajar en equipo haciendo todos los cuestiona-mientos necesarios hasta aclarar plenamente su origen e identificar a los responsables para que asuman las consecuencias que correspondan.

Es en los cuestionamientos a los duenos del control interno, cuyas áreas protagonizan un fraude, donde debe actuar Auditoría interna aportando su capacidad profesional y el co-nocimiento que tiene sobre la estructura de la empresa. El alcance y enfoque de dicha ac-tuación han quedado descritos en el contexto de este documento.