Control interno: para qué sirve y cómo previene el fraude

El control interno es el conjunto de políticas, procedimientos y mecanismos que la empresa adopta para proteger sus activos, asegurar que su información sea confiable, cumplir las normas y operar con eficiencia. Su efecto más visible es la prevención del fraude, que casi siempre aparece donde el control falta o se relajó. ¿Qué componentes tiene, qué puede y qué no puede hacer?

Qué es el control interno.

Es un proceso que ejecutan la dirección y todo el personal de la empresa, diseñado para dar seguridad razonable sobre el logro de sus objetivos.

No es un manual ni un departamento: es la forma en que la empresa hace las cosas. Un control existe cuando alguien verifica algo, deja constancia de esa verificación y esa constancia sirve para corregir.

Sus objetivos son cuatro: proteger los activos, garantizar la confiabilidad de la información contable y financiera, cumplir las normas aplicables y hacer más eficiente la operación.

Componentes del control interno.

El modelo más difundido organiza el control interno en cinco componentes, que deben funcionar juntos:

• Ambiente de control. El tono que fija la dirección: la ética, los valores, la estructura de responsabilidades y la importancia real que se le da al control. Si la gerencia elude los controles, el resto no funciona.
• Evaluación de riesgos. Identificar qué puede salir mal, en qué procesos y con qué consecuencia, incluidos los riesgos de fraude.
• Actividades de control. Las políticas y procedimientos que mitigan esos riesgos: autorizaciones, conciliaciones, segregación de funciones, controles de acceso, arqueos.
• Información y comunicación. Que la información relevante se capture y circule hacia quien debe actuar, y que las políticas se comuniquen a toda la organización.
• Supervisión. La evaluación continua de que los controles siguen funcionando, a través de auditorías internas, revisiones de gestión y seguimiento de indicadores.

El control interno es dinámico: los procesos cambian, aparecen operaciones nuevas y los controles que servían dejan de servir. Por eso debe revisarse periódicamente y no solo cuando ocurre un problema.

El control interno y el riesgo de fraude.

Toda organización está gestionada por personas, de modo que el riesgo de que alguien intente defraudarla es inherente y no desaparece. Lo que sí puede hacerse es reducir las oportunidades.

El fraude ocurre cuando coinciden tres factores: una presión sobre la persona, una oportunidad que el control deja abierta y la posibilidad de justificarse ante sí misma. La empresa tiene poco margen sobre el primero y el tercero; sobre la oportunidad lo tiene todo.

Situaciones que facilitan el fraude.

Estas son las condiciones que con más frecuencia aparecen detrás de un fraude interno:

• Falta de controles o controles inadecuados. Procesos sin autorizaciones definidas, sin conciliaciones o sin soportes.
• Ausencia de segregación de funciones. La misma persona compra, recibe, contabiliza y paga.
• Empleados que nunca toman vacaciones. Buena parte de los fraudes se descubre cuando alguien más ocupa el puesto.
• Exceso de confianza. Al empleado antiguo o cercano a la dirección se le dejan de aplicar los controles que se aplican a los demás.
• Documentación confusa o incompleta. Soportes alterados, sin firmas o que no permiten rastrear la operación.
• Transacciones inusuales sin explicación. Operaciones por fuera del giro habitual, con terceros nuevos o con justificaciones poco creíbles.
• Controles de acceso inexistentes. Claves compartidas, cajas sin restricción, información sensible al alcance de cualquiera.
• Ausencia de auditorías. Controles que nadie verifica terminan por no aplicarse.

De acuerdo con nuestro criterio, los salarios bajos suelen citarse como causa de fraude, pero son un factor de presión y no una oportunidad: una remuneración justa reduce el incentivo, aunque sin controles el riesgo sigue intacto.

Medidas que reducen la oportunidad.

Las más efectivas no son las más costosas:

• Separar funciones incompatibles, aunque sea entre dos personas.
• Exigir vacaciones y rotar a quien maneja dinero o inventarios.
• Conciliar periódicamente bancos, cartera, inventarios y cuentas por pagar.
• Limitar los accesos a los sistemas y registrar quién hace cada movimiento.
• Establecer un canal de denuncias que permita reportar de forma anónima.

En la línea de esa última medida, la ley 2195 de 2022 introdujo los programas de transparencia y ética empresarial, y el artículo 57 de esa ley impuso al revisor fiscal el deber de denunciar los actos de corrupción, como explicamos en el artículo sobre las funciones y responsabilidades del revisor fiscal.

Lo que el control interno no puede hacer.

El control interno da seguridad razonable, no absoluta. Tiene límites que conviene tener claros antes de confiar ciegamente en él:

• Dos o más personas pueden ponerse de acuerdo para eludirlo.
• La propia dirección puede saltárselo, y ese es el riesgo más difícil de controlar.
• Todo control tiene un costo, y no tiene sentido si supera el valor de lo que protege.
• El error humano y las circunstancias imprevistas siempre existen.

Por eso el control interno se complementa con la evaluación externa, que es lo que aportan la auditoría externa y la revisoría fiscal, que lo revisan y pueden señalar puntos que la propia empresa no advierte.

Por qué conviene invertir en control interno.

Implementarlo cuesta tiempo y dinero, y esa es la razón que suele frenar a las empresas pequeñas. Pero el costo de no tenerlo aparece de golpe: pérdidas de inventario, información que no permite decidir, sanciones por incumplimientos y fraudes que se descubren cuando ya son grandes.

Además, un control interno documentado facilita la auditoría, reduce sus honorarios y es un requisito frecuente en licitaciones y en acuerdos comerciales.

A continuación respondemos las preguntas frecuentes de nuestros lectores.