Cumplimiento, control interno, fraude y auditoría

1El control interno: principios y arquitectura

El marco COSO (2013) define el control interno como un proceso que proporciona una seguridad razonable sobre tres objetivos: la eficacia de las operaciones, la fiabilidad de la información financiera y el cumplimiento de las leyes y los contratos. Se basa en cinco componentes: entorno de control (tono marcado por la dirección, ética, competencias), evaluación de riesgos, actividades de control, información y comunicación, supervisión.

El modelo de las tres líneas del Instituto de Auditores Internos (2020) reparte los papeles: la primera línea (las operaciones: programas, logística, finanzas de terreno) gestiona los riesgos a diario; la segunda línea (cumplimiento, gestión de riesgos, control financiero) fija las normas y verifica; la tercera línea (auditoría interna) ofrece una seguridad independiente al consejo de administración.

Los controles clave de una ONG de terreno:

• Segregación de funciones: quien solicita una compra no es quien la aprueba, quien recibe los bienes ni quien paga.
• Delegación de autoridad por escrito, con umbrales de firma por importe y por naturaleza del gasto.
• Conciliaciones bancarias mensuales firmadas por una persona que no maneja ni la caja ni el banco.
• Arqueos de caja por sorpresa, inventarios físicos y control de existencias.
• Verificación de los beneficiarios y de las listas de pago, preferiblemente por un equipo independiente de la focalización.

En una base pequeña, la segregación completa es imposible. Se compensa con controles de detección: revisión mensual de los justificantes por el nivel superior, rotación de tareas, controles sorpresa a distancia.

2Comprender el fraude: triángulo, esquemas y señales

El triángulo del fraude (Cressey) asocia tres condiciones: una presión (deudas, presión familiar, objetivos irreales), una oportunidad (controles débiles) y una racionalización («me pagan mal», «todo el mundo lo hace»). La dirección actúa sobre todo sobre la oportunidad, pero también sobre la racionalización mediante la cultura y el ejemplo.

Los esquemas más frecuentes en el sector humanitario:

El desvío de la ayuda por grupos armados o autoridades (impuestos en los puestos de control, listas impuestas, cobros a los beneficiarios) es un riesgo importante en los conflictos. Se gestiona mediante el análisis de riesgos, la verificación independiente, la suspensión si es necesario y la coordinación con otras organizaciones para no ceder por separado.

3Tratar una sospecha: denuncia, investigación y sanciones

Una política antifraude debe prever: varios canales de denuncia (incluido uno fuera de la jerarquía y anónimo), la protección de los denunciantes frente a represalias, una regla de tolerancia cero ante la inacción (toda sospecha creíble se trata) y la obligación de notificar a los donantes en los plazos contractuales, a menudo muy cortos (por ejemplo, en pocos días hábiles tras conocer una sospecha creíble).

Etapas de una investigación interna:

1. Evaluación inicial: ¿es creíble la denuncia y está dentro del ámbito de la política? ¿A quién hay que informar? ¿Existe un riesgo para la seguridad de las personas?
2. Preservación de las pruebas: copia de los datos, aseguramiento de los documentos, suspensión de accesos si es necesario, sin alertar a la persona implicada.
3. Investigación por personas formadas, independientes de la línea jerárquica afectada, con plan de investigación, entrevistas a los testigos y después a la persona implicada, que tiene derecho a responder.
4. Informe basado en los hechos, con un nivel de prueba explícito (en materia disciplinaria, en general la preponderancia de la prueba).
5. Decisiones: sanciones disciplinarias, recuperación de las pérdidas, denuncia a las autoridades si la ley lo exige o si procede y, sobre todo, corrección de las fallas de control.

Error grave: confiar la investigación al superior directo de la persona sospechosa, o iniciar entrevistas antes de haber asegurado las pruebas. Lo primero compromete la independencia; lo segundo hace desaparecer los documentos.

4Auditorías de donantes y costes no elegibles

Una auditoría de proyecto verifica que los gastos declarados son reales, elegibles (previstos en el presupuesto, comprometidos durante el periodo, conformes a las normas), están justificados con documentos probatorios, registrados en la contabilidad y son conformes a las normas de compras y de visibilidad. Todo gasto que no cumpla estas condiciones se convierte en un coste no elegible que la organización debe reembolsar con sus fondos propios.

Causas más frecuentes de costes no elegibles: procedimiento de compra no respetado (número de presupuestos, publicidad, umbrales), justificantes ausentes o no originales, gastos fuera del periodo, claves de reparto no justificadas, diferencias de cambio mal calculadas y bienes que no aparecen en el inventario.

Preparación de una auditoría en seis puntos: expediente por contrato con todos los documentos en el orden del procedimiento; conciliación entre el informe financiero y el libro mayor; lista del personal imputado con contratos, hojas de tiempo y nóminas; inventario de bienes etiquetados; registro de las diferencias de cambio; nota que explique las claves de reparto.

Ejemplo con cifras. Un auditor prueba una muestra de 120 000 USD de gastos sobre un total declarado de 1 000 000 USD y encuentra 9 000 USD de errores (7,5 %). Según el método acordado, algunos auditores extrapolan esa tasa a toda la población: 75 000 USD de costes potencialmente no elegibles. Un error sistemático, por ejemplo una clave de reparto, cuesta por tanto mucho más que su importe en la muestra.

5Sanciones, lucha antiterrorista y verificación de los socios

Las ONG que trabajan en zonas controladas por grupos designados deben respetar los regímenes de sanciones (Consejo de Seguridad de la ONU, Unión Europea, Estados Unidos, Reino Unido) y las cláusulas antiterroristas de sus contratos. Estas cláusulas prohíben poner fondos o recursos a disposición de personas o entidades incluidas en listas, directa o indirectamente.

La resolución 2664 (2022) del Consejo de Seguridad introdujo una exención humanitaria transversal a los regímenes de congelación de activos de la ONU para la ayuda humanitaria y las actividades que responden a las necesidades básicas, y varias jurisdicciones han adoptado exenciones comparables. Pero estas exenciones no eximen de la diligencia debida ni de las cláusulas contractuales de los donantes.

La diligencia debida incluye: la verificación de socios, proveedores y personal clave en las listas de sanciones antes del contrato y periódicamente, un análisis del riesgo de desvío, controles sobre los pagos (nada de pagos en efectivo a intermediarios no verificados) y una política escrita de gestión de los contactos necesarios con los grupos armados para el acceso.

Punto de vigilancia ética: según la mayoría de los donantes y de las posiciones del sector, la verificación no se aplica a los beneficiarios, porque la ayuda se basa en las necesidades. Filtrar a los beneficiarios en listas violaría el principio de imparcialidad; en caso de duda contractual, la cuestión debe resolverse por escrito con el donante.