¿Quién Puede Firmar Qué? 6 Reglas para una Matriz de Delegación de Autoridad que Frena el Fraude sin Frenar la Empresa

El 26 de febrero de 1995 quebró Barings, el banco mercantil londinense que había ayudado a financiar la compra de Luisiana y que contaba a la Reina entre sus clientes. Se había fundado en 1762. El agujero en su balance era de 827 millones de libras, aproximadamente el doble de su capital, y lo había cavado un solo operador de 28 años en Singapur llamado Nick Leeson. En pocos días, ING compró lo que quedaba por una libra.

Leeson no era un genio del crimen. Era un hombre con dos trabajos. Dirigía la mesa de operaciones de Singapur y dirigía también el back office que liquidaba y registraba esas mismas operaciones. Nadie más tenía que dar el visto bueno a lo que él anotaba, así que una cuenta de errores con el número 88888 escondió sus pérdidas durante casi tres años.

La mayoría de las empresas privadas están organizadas exactamente como la oficina de Barings en Singapur: la misma persona puede comprometer el dinero, aprobar el pago y registrarlo. Casi nunca acaba en un titular. Acaba en una pérdida silenciosa que nadie descubre en un año.

Las cifras no son abstractas. El informe Occupational Fraud 2024: A Report to the Nations de la Association of Certified Fraud Examiners (ACFE) situó la pérdida mediana por caso en 145.000 dólares, y en 141.000 dólares en organizaciones de menos de 100 empleados, donde duele mucho más sobre un balance pequeño. El fraude mediano duró 12 meses antes de que alguien lo detectara, y más de la mitad de los casos estaban ligados a la falta de controles internos o a directivos que se los saltaban. Fuera de la empresa, el Internet Crime Complaint Center del FBI registró en 2024 21.442 denuncias por fraude del CEO y suplantación de correo corporativo, con 2.770 millones de dólares en pérdidas declaradas.

Nuestro grupo gestiona ocho negocios activos, del vino y el inmobiliario a la hostelería y la movilidad, con ventas en más de 75 países. Cuando una empresa crece así, la firma del fundador deja de ser un control y se convierte en un cuello de botella, y las personas a su alrededor empiezan a improvisar sus propios límites. La solución es una delegación de autoridad por escrito: un documento que dice quién puede comprometer qué, hasta qué importe y con la segunda firma de quién. Estas son las seis reglas que aplicaría a cualquier empresa que quiera construir una.

Regla 1: Escríbela como una matriz, no como un memorando

Un párrafo que dice "los responsables pueden aprobar gastos razonables" no es un control. Es una discusión esperando a ocurrir.

Una delegación de autoridad funciona cuando cualquiera encuentra en menos de un minuto la respuesta a "¿puedo firmar esto?". Eso significa una tabla. Las filas son tipos de decisión: gasto operativo, proyectos de inversión, contratos con clientes, contratos con proveedores, contratación y salarios, descuentos y condiciones de crédito, cuentas bancarias, asuntos legales. Las columnas son puestos, no nombres. Cada celda contiene un límite, o un hueco que significa "este puesto no".

Las empresas grandes suelen acompañar la tabla de una política breve que explica los principios. Para una empresa privada de 20 o 200 personas, basta una página de tabla y una página de reglas. No se trata de burocracia. Se trata de que un nuevo jefe de planta en Navarra y un nuevo director comercial en Miami lean la misma respuesta.

Regla 2: Separa las cuatro llaves: comprometer, aprobar, pagar y registrar

Barings cayó porque las cuatro llaves colgaban del mismo llavero. Toda transacción relevante tiene cuatro pasos, y nadie debería tenerlos todos:

• Comprometer: quien negocia la compra o firma el pedido.
• Aprobar: quien confirma que está dentro del presupuesto y de su autoridad.
• Pagar: quien libera el dinero desde el banco.
• Registrar: quien lo contabiliza y concilia la cuenta.

La regla mínima es sencilla: quien da de alta un proveedor nuevo en el sistema no puede también pagarle. Los proveedores ficticios y los datos bancarios alterados son los esquemas clásicos, y solo sobreviven donde una persona controla los dos extremos.

Los equipos pequeños dirán que no tienen gente suficiente para separar funciones. Entonces hay que compensar. El propietario revisa personalmente el extracto bancario cada mes, mirando la lista de beneficiarios y no solo los totales. La banca online exige dos usuarios para liberar cualquier transferencia. Quien maneja dinero se toma vacaciones de verdad, durante las cuales otra persona hace su trabajo. Los fraudes ocultos tienden a salir a la luz cuando su autor no está para mantenerlos.

Regla 3: Fija los límites por consecuencia, no por cargo

El instinto natural es repartir límites por cargo: 5.000 dólares para un responsable, 50.000 para un director, todo lo demás para el consejero delegado. Es un comienzo, pero se olvida de dónde está el riesgo real.

Un descuento del 3% a tu mayor cliente durante tres años puede costar más que una carretilla elevadora nueva, y sin embargo la mayoría de las empresas deja que un comercial apruebe lo primero y obliga al consejero delegado a aprobar lo segundo. Los límites deben seguir la consecuencia de la decisión, que depende de tres cosas:

• El importe durante todo el plazo. Mide los contratos por su valor total, no por el importe anual. Un alquiler a cinco años de 4.000 dólares al mes es un compromiso de 240.000 dólares.
• La reversibilidad. Una compra que puedes devolver merece un límite más amplio que un contrato de distribución en exclusiva del que no puedes salir en cinco años.
• El precedente. Las condiciones de pago, las excepciones de precio y la exclusividad crean expectativas en toda la cartera de clientes.

Algunas decisiones suben arriba sea cual sea el importe: avales personales, exclusividades, todo lo que afecte a la propiedad intelectual, los litigios, abrir o cerrar cuentas bancarias y cualquier operación con partes vinculadas. Añade una cláusula contra el fraccionamiento, porque la forma más rápida de saltarse un límite de 10.000 dólares son cuatro facturas de 9.900.

Regla 4: Haz que la puerta de los pagos sea la más difícil de abrir

La mayor parte del robo moderno no viene de dentro. Llega como un correo que parece exactamente el de un proveedor pidiéndote que actualices sus datos bancarios.

En 2019 Toyota Boshoku, fabricante de componentes del grupo Toyota, comunicó que su filial europea había sido engañada para transferir unos 4.000 millones de yenes, algo más de 37 millones de dólares, después de que unos delincuentes que se hacían pasar por un socio de negocio convencieran al personal para cambiar la cuenta de destino de un pago. La empresa era grande, estaba auditada y bien gestionada. El punto débil fue una única instrucción que nadie verificó por un segundo canal.

Ningún cambio en la cuenta bancaria de un proveedor debe aceptarse por un correo, por auténtico que parezca. Deja escrito en la matriz como innegociable:

• Todo beneficiario nuevo o cuenta modificada exige una llamada de verificación a un teléfono que ya tengas registrado, nunca al que figura en la petición.
• Las transferencias por encima de un umbral necesitan dos aprobadores dentro de la plataforma bancaria, no solo dentro del sistema contable.
• La urgencia y el secreto, "el consejero delegado lo necesita hoy, no se lo digas a nadie", activan más verificación, no menos.

Estos controles cuestan unos minutos por pago. La alternativa es una pérdida que los seguros a menudo excluyen, como expliqué al escribir sobre las reglas de transferencia de riesgos que las empresas privadas pasan por alto.

Regla 5: El propietario no está exento

Es la regla que menos gusta a los fundadores. También es la que los datos respaldan con más fuerza.

En el estudio de la ACFE, los fraudes cometidos por propietarios y directivos tuvieron una pérdida mediana de 500.000 dólares, varias veces la mediana general, porque quienes están arriba pueden saltarse todos los controles que tienen por debajo. Incluso cuando el propietario es honrado, un propietario con autoridad ilimitada es la persona más fácil de suplantar para un estafador externo.

El límite del propietario también debe figurar en la matriz, con una segunda firma obligatoria por encima. En una empresa familiar esa segunda firma puede ser un hermano accionista, el director financiero o el presidente de un consejo independiente. Además resuelve un problema que no tiene nada que ver con el fraude. Si toda decisión importante pasa por una sola firma, la empresa se para el día que esa persona no está disponible, que es exactamente el riesgo de persona clave que la mayoría de las empresas privadas nunca pone a prueba.

Regla 6: Trátala como un sistema vivo

Una delegación de autoridad escrita en 2019 y archivada en una carpeta compartida es casi tan peligrosa como no tener ninguna, porque la gente cree que existen controles que ya no se corresponden con la realidad.

Revisa la matriz al menos una vez al año, y cámbiala el mismo día en que alguien se incorpora, asciende o se va. Revocar el token bancario y los poderes de firma de un empleado el último día de trabajo importa más que cualquier revisión anual. Cada trimestre, toma una muestra aleatoria de 20 o 30 transacciones y compárala con la matriz: ¿aprobó la persona correcta?, ¿se fraccionó algo para quedar por debajo de un límite?

El objetivo no es centralizarlo todo. Berkshire Hathaway es famosa por lo contrario. En su carta de 2010, Warren Buffett escribió que delegan "casi hasta el punto de la abdicación". Pero las filiales de Berkshire siguen enviando su capital excedente a Omaha, donde se toman las grandes decisiones de asignación. La delegación funciona cuando los límites son nítidos, el mismo equilibrio que describí al elegir entre un modelo operativo centralizado y uno descentralizado.

Conclusiones clave

• Una delegación de autoridad es una matriz de una página con tipos de decisión, puestos y límites, no un párrafo de política vago.
• Nadie debería comprometer, aprobar, pagar y registrar la misma transacción; en equipos pequeños, compensa con la revisión del propietario y la doble aprobación bancaria.
• Fija los límites por valor total del contrato, reversibilidad y precedente, no solo por cargo, y prohíbe fraccionar facturas para esquivar un límite.
• Trata todo cambio de datos bancarios como sospechoso hasta verificarlo con una llamada a un número que ya tengas registrado.
• El propietario necesita un límite escrito y una segunda firma por encima, tanto para evitar abusos como para que la empresa funcione sin él.
• Revisa la matriz cada año, actualízala con cada alta y baja, y comprueba una muestra de transacciones cada trimestre.

Preguntas frecuentes

¿Qué es una matriz de delegación de autoridad?

Una matriz de delegación de autoridad es un documento de gobierno corporativo que asigna a cada tipo de decisión empresarial los puestos autorizados para aprobarla y el límite económico de cada uno. Suele cubrir gastos, contratos, contratación, precios, banca y asuntos legales. Su objetivo es que las reglas de aprobación sean explícitas, coherentes y auditables.

¿Qué debe incluir una política de delegación de autoridad?

Una buena política incluye las categorías de decisión, los límites de aprobación por puesto, la segunda firma exigida por encima de cada límite y las decisiones reservadas al propietario o al consejo. También debe cubrir la separación de funciones, una regla contra el fraccionamiento, cómo funcionan las delegaciones temporales durante las ausencias y cada cuánto se revisa el documento.

¿Qué es la regla del 70% en la delegación?

La regla del 70% es una pauta de gestión: si otra persona puede hacer una tarea al menos un 70% tan bien como tú, delégala. La diferencia suele cerrarse con la experiencia, y el tiempo que liberas vale más que esa diferencia de calidad. Se aplica a tareas y decisiones, no a eliminar los controles sobre los pagos.

¿Cómo se lo pones más difícil a un estafador que suplanta el correo de tu empresa?

Verifica por un segundo canal cualquier petición de cambiar datos bancarios o de hacer un pago urgente, idealmente con una llamada a un teléfono que ya tengas registrado. Exige dos aprobadores para beneficiarios nuevos y transferencias grandes dentro de la plataforma bancaria. Forma al equipo para que vea la presión, la urgencia y las peticiones de secreto como señales de alarma.

¿Cada cuánto hay que revisar una delegación de autoridad?

Al menos una vez al año, y cada vez que cambia la organización: nuevas incorporaciones en puestos con poder de aprobación, ascensos, salidas, adquisiciones o cuentas bancarias nuevas. Los accesos y los poderes de firma deben retirarse el último día del empleado, no en la siguiente revisión programada.

Una cosa que hacer esta semana

Abre la banca online de tu empresa y apunta a todas las personas que pueden liberar un pago por sí solas. Si algún nombre de esa lista puede además dar de alta un proveedor nuevo en tu sistema contable, has encontrado tu oficina de Singapur. Cierra esa puerta antes de escribir nada más.

Descubre los ocho negocios de Manzanos Enterprises para ver cómo un grupo fundado en 1890 crea empresas pensadas para sobrevivir a sus fundadores.