En resumen: El fraude interno en la pyme sigue algunos esquemas conocidos: proveedor ficticio, nota de gastos inflada, caja, empleado fantasma, cobro desviado, abono de complacencia. Cada uno deja señales legibles en la contabilidad, siempre que se busquen. Las defensas son sencillas: separación de funciones, doble firma, conciliaciones visadas, rotación. La auditoría legal ofrece una seguridad razonable, no absoluta (manual de normas de auditoría para pymes, § 3): no sustituye al control interno, que corresponde a la dirección (§ 3.1). El auditor legal (commissaire aux comptes, CAC) revela al consejo los hechos que le parezcan delictivos (art. 169-5° de la ley 17-95).
El fraude interno rara vez empieza con un importe espectacular. Este artículo describe los esquemas típicos en una pyme, las señales que deben alertar, los controles que los dificultan y lo que se puede esperar, o no, de la auditoría legal.
Lo que las normas de auditoría llaman fraude
El manual de normas de auditoría para pymes de la Orden de expertos contables define el fraude como «un acto intencionado cometido por una o varias personas de la dirección, de los responsables del gobierno de la entidad, de los empleados o de terceros, que implica el uso del engaño para obtener una ventaja injusta o ilegal» (§ 3.2.2).
De ello se derivan dos categorías:
- el fraude de los empleados, que solo implica a trabajadores;
- el fraude de la dirección, que implica a uno o varios directivos o miembros del gobierno de la entidad.
En ambos casos, precisa el manual, «puede haber colusión con terceros dentro o fuera de la entidad». Es el caso típico del proveedor cómplice.
El triángulo del fraude
El manual recoge el «triángulo del fraude»: tres condiciones que, cuando se reúnen, hacen probable el fraude (§ 3.2.2).
| Condición | Lo que dice el manual |
|---|---|
| Presión | Necesidades inmediatas, por ejemplo deudas personales importantes o la voluntad de alcanzar a toda costa objetivos de resultados |
| Oportunidad | «Una cultura de empresa débil y una falta de procedimientos de control interno adecuados pueden llevar a menudo a creer que el fraude puede pasar inadvertido» |
| Racionalización | El autor se convence de que no es un fraude: «no es un gran problema», «solo estoy tomando lo que merezco» |
La oportunidad es el único lado del triángulo que la empresa controla. El resto de este artículo trata de ella.
Seis esquemas típicos de desvío de fondos
Los esquemas siguientes son mecanismos tipo, presentados para ayudar al diagnóstico. A menudo se combinan.
| Esquema | Mecanismo | Señal de alerta | Control preventivo |
|---|---|---|---|
| Proveedor ficticio | Alta de una ficha de proveedor, facturas sin entrega real, pago en una cuenta controlada por el defraudador | Proveedor sin dirección verificable, cuenta bancaria modificada recientemente, facturas de importes redondos justo por debajo del umbral de doble firma | Alta y modificación de las fichas y de las cuentas bancarias por una persona que no paga; cotejo de pedido, recepción y factura |
| Notas de gastos | Gastos personales presentados como profesionales, justificante presentado dos veces, kilometraje inflado | Gastos en aumento sin aumento de actividad, justificantes en fotocopia, gastos en días no laborables | Baremo escrito, validación por el superior jerárquico, control por muestreo de los justificantes originales |
| Caja | Sustracción de efectivo, comprobantes de caja fabricados, cobros en efectivo no registrados | Descuadres de caja recurrentes «regularizados» a final de mes, saldo de caja anormalmente alto o siempre redondo | Arqueo por sorpresa a cargo de una persona ajena a la caja, límite de caja, libro de caja firmado cada día |
| Empleado fantasma | Mantenimiento en nómina de un empleado que se ha marchado, o alta de un empleado que no existe | Empleado sin expediente completo, misma cuenta bancaria para dos empleados, masa salarial que no baja tras las salidas | Altas y bajas validadas por escrito por una persona distinta de la que prepara la nómina; conciliación entre nómina, plantilla y declaraciones sociales |
| Desvío de cobros | Pago de un cliente cobrado en una cuenta personal y ocultado después imputando un pago posterior (desfase en cadena) | Créditos de clientes que envejecen sin reclamación, clientes que impugnan las reclamaciones, diferencias entre los extractos de clientes y la contabilidad | Cobros recibidos por una persona que no lleva las cuentas de clientes; saldo por antigüedad revisado cada mes; confirmaciones de saldos |
| Abonos de complacencia | Abono emitido sin devolución de mercancía, para cubrir un cobro desviado o favorecer a un cliente cómplice | Abonos concentrados en un comercial o un cliente, abonos emitidos justo después del cierre, abonos sin albarán de devolución | Abonos autorizados por un responsable distinto del comercial; numeración correlativa; revisión mensual de la lista de abonos |
Los controles clave por ciclo, y las evidencias que deben conservarse para el auditor, se detallan en nuestro artículo sobre el control interno en la pyme. Para las notas de gastos, el tratamiento contable y fiscal es objeto de una guía de las notas de gastos; para la nómina, ver la lista de comprobación de auditoría de nómina.
Las señales de alerta por ciclo
Una señal no es una prueba. El manual lo recuerda a propósito de los auditores: el fraude se revela a menudo por «la combinación de pequeños indicios, inverosimilitudes y excepciones» (§ 3.2.1). El mismo método sirve para la dirección.
Compras y proveedores
- Nuevos proveedores dados de alta a final de mes o por una persona inhabitual.
- Varios proveedores que comparten dirección, teléfono o cuenta bancaria, o un proveedor que comparte estos datos con un empleado.
- Prestaciones inmateriales (consultoría, mantenimiento, estudios) sin entregable identificable.
Ventas y cobros
- Aumento de los abonos o de los descuentos sin explicación comercial.
- Clientes cuyo saldo nunca baja aunque declaran haber pagado.
Tesorería y caja
- Conciliación bancaria con retraso, o preparada y validada por la misma persona. Nuestra guía de la conciliación bancaria detalla cómo elaborarla.
Nómina
- Variación de la masa salarial que no se explica ni por las altas y bajas ni por los aumentos.
Comportamientos
- Colaborador que nunca se toma vacaciones o es el único con acceso a un archivo o a una cuenta.
Los controles preventivos sencillos
Cuatro familias de controles cierran la mayor parte de las oportunidades.
- Separación de funciones. Quien da de alta a un proveedor no le paga; quien cobra no lleva las cuentas de clientes; quien prepara la nómina no valida las altas.
- Doble firma. Por encima de un umbral escrito, dos firmantes. Un esquema bien diseñado fracciona los pagos justo por debajo.
- Conciliaciones visadas. Banco, caja, nómina y declaraciones sociales, clientes y proveedores: cada mes, por una persona que no ha registrado las operaciones, con constancia escrita de las diferencias.
- Rotación y vacaciones. Un colaborador sustituido durante sus vacaciones deja su puesto a otra mirada.
Ejemplo (hipótesis)
Sociedad X, pyme de distribución. Doble firma por encima de 20 000 DH. El contable de proveedores da de alta él mismo las fichas de proveedores y prepara las transferencias, que firma el director general a partir de un estado resumen.
Durante un ejercicio, registra cada mes una factura de 18 500 DH de un proveedor de mantenimiento dado de alta por él, cuya cuenta bancaria es la suya. En doce meses salen 222 000 DH sin que ninguna transferencia active la doble firma.
Tres controles lo habrían frenado: alta de los proveedores por otra persona, firma de las transferencias con los justificantes a la vista, revisión trimestral de los proveedores dados de alta recientemente ordenada por importe acumulado.
La estructura pequeña
Con dos personas en el departamento financiero, la participación activa del propietario-gerente puede compensar la falta de separación de funciones, pero «puede, no obstante, aumentar otros riesgos, como el riesgo de elusión de los controles» (manual, § 5.3). Los controles compensatorios se detallan en el artículo sobre el control interno citado anteriormente.
Lo que la auditoría legal detecta y lo que no detecta
El auditor legal no es un investigador, y la ley lo aparta de la gestión: su misión permanente se ejerce «con exclusión de toda injerencia en la gestión» (art. 166 de la ley 17-95).
La responsabilidad de la dirección
Antes de aceptar el encargo, el auditor comprueba que la dirección reconoce su responsabilidad sobre el «control interno que considere necesario para permitir la preparación de estados financieros libres de incorrecciones significativas, debidas a fraude o a error» (manual, § 3.1). El informe de auditoría recoge este reparto (§ 5.2). Prevenir y detectar el fraude en el día a día corresponde, por tanto, a la dirección.
El objetivo del auditor
El auditor busca «obtener una seguridad razonable de que los estados de síntesis, considerados en su conjunto, no contienen incorrecciones significativas, debidas a fraude o a error» (manual, § 3).
| Lo que aporta la auditoría | Lo que la auditoría no garantiza |
|---|---|
| Una evaluación de los riesgos de incorrección significativa, incluido el fraude, y una respuesta adecuada (§ 3.2.2) | El descubrimiento de todo fraude: la seguridad razonable «no garantiza, sin embargo, que una auditoría realizada de conformidad con las normas detecte siempre toda incorrección significativa» (§ 5.2) |
| Un escepticismo profesional: el auditor debe «ser consciente de que la dirección siempre puede cometer fraudes» (§ 3.2.2) | Una seguridad absoluta, imposible «debido a las limitaciones inherentes al trabajo realizado» (§ 3) |
| Procedimientos sorpresa ante el riesgo de fraude, por ejemplo controles «sin previo aviso» en los almacenes (§ 3) | Un examen exhaustivo: el auditor trabaja por muestreo y solo controla el 100 % de una población en determinados casos (§ 3.4.2) |
| Procedimientos específicos ante las «extralimitaciones por parte de la dirección» (§ 3) | La detección de un fraude no significativo para las cuentas consideradas en su conjunto |
| La comunicación escrita de las deficiencias significativas de control interno a los responsables del gobierno de la entidad (§ 4.1) | Un juicio sobre la calidad de la gestión: el informe «no garantiza ni la viabilidad futura de la entidad, ni la eficiencia y la eficacia» de la gestión (§ 3) |
Un desvío modesto pero regular puede seguir siendo no significativo para las cuentas consideradas en su conjunto: corresponde al control interno detectarlo. Las etapas del encargo se describen en nuestro artículo sobre la preparación de la intervención del auditor legal.
Lo que el auditor legal debe revelar
La ley 17-95 establece lo que el auditor legal pone en conocimiento del consejo de administración o del directorio y del consejo de vigilancia, «tantas veces como sea necesario» (art. 169), en particular:
- «las irregularidades e inexactitudes que hubieran descubierto» (art. 169-3°);
- «todos los hechos que les parezcan delictivos de los que hayan tenido conocimiento en el ejercicio de su misión» (art. 169-5°).
Esta obligación está sancionada. El auditor legal que da o confirma a sabiendas información falsa sobre la situación de la sociedad, o que no revela a los órganos de administración, dirección o gestión los hechos que le parezcan delictivos, se expone a una pena de seis meses a dos años de prisión y a una multa de 10 000 a 100 000 DH, o a una sola de estas penas (art. 405). El artículo 104 de la ley 5-96 hace aplicable el artículo 405 a los auditores legales de SARL.
El auditor legal sigue sujeto al secreto profesional respecto de los hechos de los que tiene conocimiento por razón de sus funciones (art. 177): la revelación se hace a los órganos que designa la ley.
Cuando el fraude procede de la dirección
La ley 17-95 sanciona a los directivos de SA que, de mala fe, hacen de los bienes o del crédito de la sociedad «un uso que sabían contrario a los intereses económicos de esta con fines personales», o que presentan a sabiendas estados de síntesis que no dan una imagen fiel para ocultar la situación: de uno a seis meses de prisión y multa de 100 000 a 1 000 000 DH, o una sola de estas penas (art. 384-2° y 3°).
Si una deficiencia significativa afecta a la conducta del propietario-gerente, no existe un responsable de nivel jerárquico adecuado al que informar, y el auditor «debería reconsiderar su capacidad para continuar» (manual, § 4.1). En las entidades pequeñas, por otra parte, una sola persona puede asumir el gobierno de la entidad (§ 6.2).
Qué hacer ante una sospecha
- Preservar los documentos. Copie los archivos, extracciones y extractos afectados; suspenda si es necesario los derechos de acceso de la persona implicada a las cuentas y a los pagos. Los documentos contables y los justificantes se conservan diez años (art. 22 de la ley 9-88): no debe destruirse ni «regularizarse» nada.
- Establecer los hechos antes de concluir. Reconstruya las operaciones con los justificantes: ficha de proveedor, historial de cuentas bancarias, transferencias, albaranes de entrega.
- Informar al auditor legal. Al final del encargo, la dirección firma una carta de manifestaciones en la que declara que ha comunicado al auditor «todos los hechos importantes relativos a casos de fraude probados o sospechados de los que tenía conocimiento» (manual, § 6.1). Una sospecha callada hace inexacta esta declaración.
- Dejar trabajar al auditor. El auditor legal puede obtener in situ todos los documentos útiles (art. 167). Obstaculizar a sabiendas sus verificaciones, o negarse a facilitar los documentos, expone a los directivos y a «cualquier persona al servicio de la sociedad» a de uno a seis meses de prisión y multa de 6 000 a 30 000 DH, o a una sola de estas penas (art. 406; art. 104 de la ley 5-96 para la SARL).
- Corregir el control que ha fallado, tanto como tratar el caso.
Una revisión específica a cargo de una mirada externa puede completar estas etapas; nuestro artículo sobre la auditoría de fraude describe este enfoque, distinto de la auditoría legal presentada en la página auditoría legal y comisariado de cuentas.
Puntos de atención
- No confundir auditoría y prevención. Unas cuentas certificadas no prueban la ausencia de fraude (manual, § 3 y § 5.2).
- Vigilar las fichas de proveedores y las cuentas bancarias: son la puerta de entrada del esquema del proveedor ficticio.
- Supervisar las operaciones del propio director general: el riesgo de elusión aumenta con su papel (§ 5.3).
- Decir al auditor legal lo que sabe. La carta de manifestaciones le compromete (§ 6.1). La elección de un auditor atento al control interno se aborda en el artículo sobre la elección de un auditor legal.
LEER TAMBIÉN:
- Control interno en pymes y empresas medianas en Marruecos: los controles clave por ciclo
- Preparar la intervención del auditor legal
- Auditoría legal en Marruecos: guía completa
Preguntas frecuentes
¿Está el auditor legal encargado de descubrir los fraudes?
Busca una seguridad razonable de que los estados de síntesis no contienen incorrecciones significativas, debidas a fraude o a error (manual de normas de auditoría para pymes, § 3). Esta seguridad es alta, pero no absoluta: una auditoría no siempre detecta toda incorrección significativa (§ 5.2). El control interno destinado a prevenir el fraude corresponde a la dirección (§ 3.1).
¿Qué hace el auditor legal si descubre un hecho delictivo?
Lo pone en conocimiento del consejo de administración o del directorio y del consejo de vigilancia (art. 169-5° de la ley 17-95). El auditor legal que no revela a los órganos de administración, dirección o gestión los hechos que le parezcan delictivos se expone a una pena de seis meses a dos años de prisión y a una multa de 10 000 a 100 000 DH, o a una sola de estas penas (art. 405). El artículo 104 de la ley 5-96 extiende esta regla a los auditores legales de SARL.
¿Hay que informar al auditor legal de una sospecha de fraude?
Sí. La carta de manifestaciones que la dirección firma al final del encargo declara que ha comunicado al auditor todos los hechos importantes relativos a casos de fraude probados o sospechados de los que tenía conocimiento (manual, § 6.1). Callar una sospecha haría inexacta esta declaración.
¿Cuál es el primer control que debe implantarse en una estructura pequeña?
Separar el alta de proveedores y de cuentas bancarias de la ejecución de los pagos, y hacer visar cada mes la conciliación bancaria por una persona que no paga. Cuando la plantilla no permite separar las tareas, el director general recibe él mismo los extractos bancarios y revisa lo que no prepara.
¿Puede un empleado negarse a entregar documentos al auditor legal?
No. El auditor legal puede obtener in situ todos los documentos útiles para su misión (art. 167 de la ley 17-95). Los directivos o cualquier persona al servicio de la sociedad que obstaculicen a sabiendas sus verificaciones o se nieguen a facilitar los documentos se exponen a una pena de uno a seis meses de prisión y a una multa de 6 000 a 30 000 DH, o a una sola de estas penas (art. 406). El artículo 104 de la ley 5-96 hace aplicable esta regla a la SARL.
