Tu Empleado de Más Confianza Tiene el Token del Banco: 6 Reglas para Frenar un Desfalco Antes de que Dure Años

En diciembre de 2009, American Express se puso en contacto con Michael Koss, consejero delegado del fabricante de auriculares de Milwaukee que lleva el apellido de su familia. El mensaje era sencillo y demoledor: su vicepresidenta de finanzas estaba pagando su tarjeta personal con grandes transferencias desde una cuenta bancaria de Koss.

Cuando el caso llegó a un juez federal, la cifra era de 34 millones de dólares, sustraídos durante 12 años. Sue Sachdeva había comprado tanta ropa y tantas joyas que alquiló trasteros para guardar lo que no le cabía en casa, y muchas prendas seguían con la etiqueta puesta. La empresa reformuló sus cuentas, y Michael Koss declaró ante el tribunal que tuvo que recortar salarios y el reparto de beneficios de los empleados. Las auditorías anuales no lo detectaron. Lo detectó una compañía de tarjetas.

El desfalco rara vez viene de un desconocido. Viene de la persona a la que dejaste de revisar porque confías en ella. Por eso la defensa habitual, "yo conozco a mi gente", no es ninguna defensa. Es justo la condición que el fraude necesita.

Las cifras del informe Occupational Fraud 2026: A Report to the Nations de la Association of Certified Fraud Examiners (ACFE), basado en 2.402 casos de 143 países, merecen leerse despacio:

• Las organizaciones pierden un 5% de sus ingresos anuales, según su estimación, por fraude interno.
• El caso mediano cuesta 104.000 dólares y dura 12 meses antes de que alguien se dé cuenta.
• Los fraudes descubiertos en los seis primeros meses tienen una pérdida mediana de 40.000 dólares. El 5% que supera los cinco años llega a una pérdida mediana de 1,115 millones.
• Más de la mitad de los casos se explican por la falta de controles internos o porque alguien se los saltó.

Nuestro grupo lleva en activo desde 1890 y hoy tiene ocho negocios en marcha. Cuando operas durante tanto tiempo y en tantos sitios, dejas de preguntarte si alguien lo intentará y empiezas a preguntarte cuánto tardarías en enterarte. Estas son las seis reglas que aplicaría en cualquier empresa privada o familiar que quiera que la respuesta sea "poco".

Regla 1: Controla las salidas, no solo la puerta principal

Koss tenía una norma de aprobación. Las facturas de 5.000 dólares o más necesitaban la firma del consejero delegado. Suena razonable, y no protegía casi nada, porque según la SEC, Sachdeva y una compañera tramitaban grandes transferencias y cheques bancarios totalmente al margen del sistema de cuentas a pagar.

Un control que cubre un solo canal de pago no hace más que llevar el fraude al siguiente. Así que haz una lista de todas las formas en que el dinero puede salir de tu empresa: transferencias, banca online, cheques, tarjetas de empresa, nóminas, caja, devoluciones y aplicaciones de pago. Después pregunta quién puede usar cada una y quién más lo ve.

A continuación, reparte las cuatro llaves para que nadie las tenga todas:

• Autorizar: quién decide que este pago debe hacerse.
• Pagar: quién libera realmente el dinero.
• Registrar: quién lo anota en la contabilidad.
• Conciliar: quién compara los libros con el banco.

Nick Leeson pudo hundir Barings porque dirigía a la vez la mesa de operaciones y el back office. Lo contamos en nuestro artículo sobre quién puede firmar qué en una matriz de delegación de autoridad.

Regla 2: Recibe los extractos directamente del banco

La mayoría de los dueños leen informes financieros preparados por la misma persona que podría estar escondiendo algo en ellos.

El remedio barato lleva diez minutos al mes. Date a ti, o a un socio de confianza, acceso online de solo lectura a todas las cuentas bancarias y revisa personalmente los extractos originales. Estás buscando beneficiarios que no reconoces, transferencias de cifras redondas y cuentas que no sabías que existían.

Quien puede mover el dinero nunca debe ser quien concilia la cuenta. Si tu equipo de finanzas son dos personas, que se lo repartan. Si es una sola, la conciliación la hace el dueño o un contable externo, y ve el extracto original, no una copia impresa ni un resumen.

Regla 3: Obliga a todo el equipo de finanzas a coger dos semanas seguidas

Rita Crundwell fue interventora de Dixon, en Illinois, durante casi tres décadas. A lo largo de unos veinte años robó 53,7 millones de dólares a esa pequeña ciudad, dinero que acabó en gran parte en un negocio de cría de caballos de competición. Explicaba los déficits del presupuesto diciendo que el estado se retrasaba en sus pagos, y la gente la creía.

Todo se vino abajo durante una larga ausencia suya en el otoño de 2011. La secretaria municipal, Kathe Swanson, que la sustituía como interventora, se encontró con una cuenta bancaria de la que nunca había oído hablar y con los cheques emitidos contra ella. Lo que se ha descrito como el mayor fraude municipal de la historia de Estados Unidos terminó porque por fin se sentó otra persona en esa silla.

La mayoría de los fraudes continuados necesitan mantenimiento diario, y quien nunca coge vacaciones puede estar haciendo exactamente eso. Exige dos semanas consecutivas de ausencia a todo el que toque dinero, y haz que otra persona haga de verdad su trabajo mientras tanto: abrir el correo, conciliar y responder a los proveedores.

La ACFE observó que las empresas con rotación de puestos o vacaciones obligatorias tenían una pérdida mediana un 49% menor que las que no las tenían. Pero solo el 8% de las organizaciones de menos de 100 empleados las aplicaba, frente al 32% de las mayores.

Regla 4: Audita por sorpresa y empieza por la lista de proveedores

Tu auditoría anual se anuncia, se programa y está pensada para comprobar si las cuentas son correctas en lo sustancial. No está diseñada para encontrar un robo, y quien planea uno sabe exactamente cuándo llega.

Las auditorías sorpresa son otra cosa. En los datos de la ACFE se asocian con una pérdida mediana de 74.000 dólares frente a 149.000 sin ellas, y con una detección en 8 meses en lugar de 16. Solo el 16% de las organizaciones pequeñas las usa, frente al 52% de las mayores, y por eso una empresa pequeña es un blanco tan fácil.

No hace falta un equipo forense. Elige una o dos comprobaciones cada trimestre, sin avisar:

• Compara las cuentas bancarias y direcciones de los proveedores con las fichas de los empleados.
• Busca proveedores dados de alta hace poco sin contrato ni pedido de compra.
• Toma diez notas de gastos y sigue cada una hasta su recibo original.
• Confirma que todos los que están en nómina trabajan de verdad en la empresa.

Después haz búsquedas sencillas de facturas duplicadas, pagos justo por debajo del límite de aprobación y asientos registrados a horas extrañas. La monitorización proactiva de datos se asoció con una pérdida mediana un 53% menor en el estudio de la ACFE, y para empezar basta con una hoja de cálculo.

Regla 5: Dale a la gente un lugar seguro donde contártelo

Las denuncias detectaron el 43% de los fraudes del estudio de la ACFE, casi tres veces más que el segundo método más habitual. Y el 55% de ellas vino de empleados, personas que llevan meses notando algo raro y no saben a quién decírselo, sobre todo si el sospechoso está cerca del dueño.

Aquí importa tener un canal formal. Las organizaciones que lo tenían registraron una pérdida mediana de 100.000 dólares y una duración de 11 meses, frente a 150.000 dólares y 17 meses sin él. Solo el 24% de las organizaciones pequeñas tiene una línea de denuncias, frente al 85% de las mayores.

Una empresa pequeña no necesita comprar una plataforma. Basta una dirección de correo que llegue a un abogado externo o a un consejero independiente, y que conozcan la plantilla y los proveedores. El canal no debe pasar por finanzas ni por nadie que dependa de las personas a las que tiene que vigilar.

Forma también a tus directivos en el comportamiento. La ACFE indica que el 84% de los defraudadores mostró al menos una señal de alerta. Vivir por encima de sus posibilidades (39%) y las dificultades económicas (29%) encabezan la lista, seguidas de una relación inusualmente estrecha con proveedores o clientes. Nada de eso prueba nada, pero junto a un pago extraño es motivo para mirar.

Regla 6: Trata toda orden de pago urgente como un fraude hasta que la confirme una voz

No todo robo viene de dentro. En enero de 2016, un empleado de FACC, el proveedor aeroespacial austríaco, transfirió unos 50 millones de euros tras recibir un correo que parecía del consejero delegado. La empresa acabó registrando un cargo de 41,9 millones. Primero cayó el director financiero, y en mayo el consejo de supervisión destituyó a su consejero delegado, Walter Stephan, tras 17 años en el puesto.

El atacante no necesitó ninguna contraseña del banco, solo a un empleado dispuesto a ejecutar una instrucción que parecía venir de arriba. Tu propia jerarquía es la debilidad de este engaño, así que elimínala por escrito.

Fija tres normas que todos conozcan:

• Toda instrucción nueva de transferencia o cambio de datos bancarios de un proveedor se confirma por teléfono, en un número que ya esté en tus archivos, nunca en el que aparezca en el correo.
• Dos personas liberan cualquier pago por encima de un límite fijado, y no hay excepción posible por urgencia o confidencialidad.
• Nadie será sancionado jamás por frenar un pago que pidió el consejero delegado, tampoco cuando de verdad lo pidió.

Después revisa tu seguro. Las coberturas patrimoniales estándar suelen excluir el robo por empleados, y las pérdidas por suplantación pueden requerir una redacción específica en una póliza de crimen. Nuestra guía sobre transferencia de riesgos en la empresa privada explica cómo buscar esos huecos.

Puntos Clave

• La confianza no es un control. La antigüedad y la lealtad son lo que le da tiempo al fraude. La ACFE observó que los fraudes salen más caros cuanto más tiempo lleva el autor en la organización.
• Traza todas las salidas de caja. Una norma de aprobación de facturas no significa nada si las transferencias y los cheques bancarios la esquivan.
• Lee los extractos del banco, no el resumen. El acceso de solo lectura no cuesta nada y lleva minutos.
• Obliga a las vacaciones y cubre el puesto. Los fraudes ocultos suelen romperse en cuanto otra persona hace el trabajo.
• Revisa por sorpresa. Las empresas pequeñas usan las auditorías sorpresa tres veces menos que las grandes, y lo pagan.
• Dale a la gente una vía que no pase por finanzas. Las denuncias descubren más fraude que ningún otro método.
• Exige una voz para cada instrucción de pago nueva. Ningún cargo debe poder saltarse ese paso.

Preguntas Frecuentes

¿Cuáles son las señales de alerta de un desfalco de un empleado?

Las más comunes son de comportamiento: un empleado que vive por encima de sus posibilidades, dificultades económicas visibles, vínculos inusualmente estrechos con un proveedor y resistencia a compartir tareas o a tomarse días libres. En los libros, busca beneficiarios desconocidos, informes tardíos o desordenados, pagos justo por debajo de los límites de aprobación y conciliaciones que siempre están a punto de terminarse.

¿Cómo se separan las funciones en una empresa muy pequeña?

Usa al dueño como segundo par de ojos. Cuando un solo contable lleva casi todas las tareas, el dueño debe aprobar los proveedores nuevos, retener o liberar los pagos por encima de cierto importe y revisar cada mes los extractos originales. Las vacaciones obligatorias añaden otra comprobación que casi no cuesta nada.

¿Qué hay que hacer si sospechas que un empleado está robando?

No lo confrontes ni anuncies una investigación, porque así es como desaparecen los documentos. Conserva con discreción los registros bancarios, los correos y los registros de sistemas, y llama a tu abogado y a un contable forense antes que a nadie. Avisa pronto a tu aseguradora, porque las pólizas de crimen suelen tener plazos de notificación estrictos, y déjate asesorar sobre la suspensión de accesos y la denuncia a la policía.

¿El seguro de empresa cubre el robo por parte de empleados?

No automáticamente. El robo por empleados suele requerir una cobertura de crimen o de fidelidad, como póliza aparte o como ampliación, y los límites suelen ser más bajos de lo que los dueños creen. Revisa las exclusiones de la póliza, el plazo que tienes para descubrir y comunicar la pérdida, y si incluye el fraude por suplantación de correo.

En Resumen

Michael Koss se enteró de un robo de 12 años por una compañía de tarjetas. Dixon, en Illinois, se enteró de un robo de dos décadas porque una responsable se ausentó y otra persona hizo por fin su trabajo. Las dos organizaciones podrían haberlo descubierto años antes con controles que casi no cuestan nada. Ponlos en marcha ahora, mientras sigue siendo una tarea administrativa aburrida y no una emergencia. La gente en la que confías no tendrá problema. Las personas honradas no suelen tenerlo.

Para ver cómo piensa sobre la disciplina a largo plazo un grupo que construye empresas desde 1890, conoce más sobre Manzanos Enterprises.