Auditorías y control interno: prepararse, prevenir, detectar

1Las distintas auditorías de una ONG

Una ONG que gestiona fondos de donantes vive al ritmo de varias auditorías, que no tienen ni el mismo objeto ni el mismo destinatario:

• Auditoría legal (o estatutaria): un auditor de cuentas certifica los estados financieros anuales de la organización. Da una opinión sobre el conjunto, no sobre cada proyecto.
• Auditoría de proyecto: exigida por el contrato de subvención (a menudo por encima de un umbral, por ejemplo 100 000 o 500 000 USD), abarca el informe financiero del proyecto y la elegibilidad de los gastos.
• Verificación de gastos (expenditure verification): procedimientos acordados sobre una muestra de transacciones; el verificador no emite una opinión, informa de sus constataciones.
• Auditoría del donante o control in situ: realizada por el propio donante o por una firma mandatada, a veces sin mucho preaviso.
• Auditoría interna: función de la organización que evalúa sus propios procesos y rinde cuentas al consejo o al comité de auditoría.

Las opiniones posibles de un auditor externo: favorable o sin salvedades (las cuentas dan una imagen fiel), con salvedades (salvo en un punto preciso), desfavorable (las cuentas no son fiables) o denegación de opinión (justificantes insuficientes). Una opinión con salvedades sobre un proyecto se traduce casi siempre en costes declarados no elegibles.

2Preparar una auditoría de proyecto

Una auditoría se gana durante la vida del proyecto, no la semana en que llegan los auditores. La preparación sigue una lista estable:

• Libro mayor del proyecto conciliado con el informe financiero presentado: cada cifra del informe debe encontrarse en la contabilidad.
• Expediente de justificantes para cada transacción: solicitud, autorización, licitación, orden de compra, albarán de entrega o de recepción, factura, prueba de pago y, para las distribuciones, las listas firmadas.
• Personal: contratos, hojas de tiempo firmadas, nóminas, pruebas de pago de las cargas sociales y de los impuestos retenidos.
• Conciliaciones bancarias mensuales firmadas, actas de arqueo de caja, cálculo de las pérdidas y ganancias cambiarias.
• Equipos: registro del inmovilizado, etiquetas, pruebas del inventario físico.
• Correspondencia con el donante: acuerdos de reasignación, de prórroga, excepciones a las normas de origen.
• Seguimiento de las auditorías anteriores: plan de acción y pruebas de su aplicación.

Muestreo del auditor. En un proyecto de 2 000 transacciones, el auditor suele probar de 60 a 120, dando prioridad a los grandes importes, los pagos en efectivo, los finales de período y los proveedores inusuales. Si 3 transacciones de la muestra, que suman 18 000 USD, no tienen justificantes, puede extrapolar el error al conjunto de la población: una tasa de error del 2 % sobre 1,5 millones de gastos representa 30 000 USD potencialmente no elegibles.

Regla práctica: un expediente que no puede comprender una persona externa sin explicación oral no es un expediente de auditoría.

3El control interno financiero

El control interno es el conjunto de reglas y prácticas que dan una seguridad razonable de que las operaciones están autorizadas y correctamente registradas, y de que los bienes están protegidos. El marco COSO distingue cinco componentes: entorno de control (el tono marcado por la dirección), evaluación de riesgos, actividades de control, información y comunicación, supervisión.

Las actividades de control clave en finanzas:

• Separación de tareas: la persona que solicita, la que aprueba, la que paga y la que registra y concilia no son la misma. En una oficina pequeña, cuando es imposible, se impone un control compensatorio (revisión mensual por el director, doble firma).
• Cuadro de delegaciones (delegación de autoridad): quién puede comprometer qué importe, por tipo de gasto.
• Conciliaciones: banco, caja, anticipos al personal, cuentas de proveedores, cuentas entre oficinas.
• Controles de acceso: permisos en el software contable, caja fuerte, firmas bancarias, contraseñas de banca en línea.
• Revisión analítica: comparación de los gastos de un mes a otro y entre oficinas para detectar lo anormal.

Ejemplo de matriz. Una oficina de terreno de 4 personas: el logista solicita, el jefe de oficina aprueba hasta 2 000 USD, el contable paga y registra. Debilidad: el contable también lleva la caja y hace la conciliación. Control compensatorio: arqueo sorpresa de caja mensual por el jefe de oficina y revisión de la conciliación por el departamento financiero de la capital.

4El fraude financiero: esquemas frecuentes

El «triángulo del fraude» (Cressey) reúne tres elementos: una presión (deudas, familia, presión social), una oportunidad (control débil) y una racionalización («me pagan mal», «todo el mundo lo hace»). La organización actúa sobre todo sobre la oportunidad.

Esquemas más frecuentes en el sector:

• Proveedores ficticios o colusión entre proveedores (ofertas de complacencia, presupuestos redactados por la misma mano, mismas direcciones o teléfonos).
• Comisiones ilícitas: el proveedor sobrefactura y devuelve una parte al comprador.
• Empleados fantasma o jornaleros ficticios en las listas de pago.
• Notas de gastos falsas, dietas por misiones no realizadas, combustible declarado para vehículos inmovilizados.
• Desvío de caja disimulado mediante justificantes fabricados o el aplazamiento de las conciliaciones.
• Beneficiarios ficticios o duplicados en las distribuciones y las transferencias monetarias.

Señales de alerta: conciliaciones con retraso, justificantes fotocopiados en lugar de originales, importes justo por debajo del umbral de aprobación (1 990 USD para un umbral de 2 000), proveedores que siempre ganan, un empleado que rechaza sus vacaciones, gastos al alza sin aumento de actividad, facturas numeradas consecutivamente para un mismo cliente.

5Análisis de datos y ley de Benford

Las herramientas sencillas de análisis de datos detectan muchas anomalías: búsqueda de duplicados (mismo importe, mismo proveedor, misma fecha), pagos en fin de semana, proveedores cuya cuenta bancaria es la de un empleado y fraccionamiento de pedidos.

La ley de Benford describe la frecuencia esperada del primer dígito en muchas series de importes naturales: el 1 aparece alrededor del 30,1 % de las veces, el 2 alrededor del 17,6 % y el 9 solo el 4,6 %. Fórmula: P(d) = log10(1 + 1/d). Una desviación marcada (por ejemplo, demasiados importes que empiezan por 4 o por 9 en notas de gastos) no prueba un fraude, pero orienta las pruebas.

Ejemplo de fraccionamiento. Umbral de licitación de 5 000 USD. En un mes, un mismo proveedor recibe cuatro órdenes de compra de 4 800, 4 900, 4 750 y 4 950 USD para el mismo artículo, con pocos días de intervalo: total 19 400 USD. La compra debería haber sido objeto de una licitación formal. Incluso sin fraude, el gasto corre el riesgo de no ser elegible por incumplimiento de las normas de compras.

Una anomalía es una pregunta, no una acusación. Se documenta, se verifica y después se transmite por el canal previsto.

6Reaccionar ante una sospecha de fraude

La conducta que debe seguirse la fijan la política antifraude de la organización y los contratos de los donantes, que imponen casi todos una notificación rápida (a menudo en 48 a 72 horas o «en cuanto se tenga conocimiento») de toda sospecha de fraude o de desvío de sus fondos.

• No investigar solo ni confrontar a la persona sospechosa: se corre el riesgo de destruir pruebas y de comprometer el procedimiento.
• Notificar por el canal previsto (línea de denuncia, responsable de cumplimiento, dirección), con protección del denunciante.
• Preservar las pruebas: copias de los archivos, bloqueo de los accesos, conservación de los justificantes originales.
• Investigación realizada por un equipo designado, independiente de la cadena jerárquica afectada.
• Informar al donante dentro de los plazos contractuales y después transmitir el informe final y las medidas adoptadas.
• Recuperar los fondos cuando sea posible, y reembolsar al donante la parte perdida, a menudo con fondos propios.
• Corregir el control que falló: es la parte más útil del expediente.

El coste de un fraude supera el importe desviado: reembolso, tiempo de investigación, reputación y a veces suspensión de las financiaciones. Por eso los donantes evalúan a la organización por su capacidad para detectar y notificar, no por la ausencia aparente de fraude.