PROGRAMA DE ASEGURAMIENTO Y MEJORA DE LA CALIDAD DE LA FUNCIÓN DE AUDITORÍA INTERNA
Estándarsábado, 4 de mayo de 2019
"Mejorando los procesos de Gobierno Corporativo, Gestión de Riesgos y Control Interno"
domingo, 5 de mayo de 2019
EL FRAUDE DEL CLIENTE FALSO
Estándar
“Mejorando los procesos de Gobierno Corporativo, Gestión de Riesgos y Control Interno”
sábado, 4 de mayo de 2019
(Revista Internal Auditor Febrero de 2019, Pag. 22 al 23). Un empleado sin escrúpulos aprovecha los beneficios de controles internos débiles.
Brightstar Corp. es una empresa de paneles solares con ingresos anuales de $ 4,5 mil millones. Recientemente había adquirido Solarstar Inc., un competidor más pequeño. Ambas empresas emplean representantes de ventas solo por comisión; sin embargo, los planes de comisiones varían entre las empresas. Brightstar paga a los representantes de ventas una vez instalado el sistema del panel solar, mientras que el plan de comisiones de Solarstar paga la mitad de la comisión una vez firmado el contrato con el cliente. El resto de la comisión se paga luego de instalado el sistema. Si el cliente cancela la instalación, la comisión ya pagada se recupera de futuras comisiones.
Robert Schull y Alysa Cayden, el equipo de auditoría forense de Brightstar, estaban dirigiendo una sesión de capacitación de la recientemente contratada directora de remuneraciones, Lisa Myers, sobre esquemas de fraude perpetrados por representantes de ventas. Al final de la presentación, Myers abordó a Schull y Cayden para conversar sobre sus inquietudes acerca de Eddie Fogbottom, un representante de ventas del mercado de Austin, Texas. Fogbottom era una estrella en ascenso en Solarstar. Antes de unirse a la empresa, había sido un ejecutivo de prevención de pérdidas de varias compañías importantes que cotizan en bolsa. Tenía un éxito increíble como representante de ventas y recientemente fue ascendido a una función muy codiciada, de gerente dentro del equipo nacional de ventas de la empresa. Poco después de que aceptara este nuevo puesto, 39 ventas de Fogbottom fueron canceladas, lo que representaba $10.000 en comisiones que sería necesario recuperar. Dado que se trataba de un monto tan importante, Myers se comunicó con él para analizar el plan de devolución. Fogbottom le dijo a Myers que la empresa no podría recuperar las comisiones. Al ser promovido la carta de ofrecimiento de empleo incluía una cláusula escrita que le permitía conservar todas las comisiones de ventas anteriores, incluso si los clientes cancelaban sus cuentas. Myers sospechó que podría tratarse de un fraude. Solarstar utiliza contratos electrónicos que se envían por correo electrónico al cliente una vez completados. El cliente revisa el contrato, lo firma electrónicamente y lo devuelve. Los contratos no son legalmente vinculantes hasta que son devueltos y se recibe un pago inicial. Se registra un sello electrónico de fecha y hora en el contrato y la dirección del protocolo de Internet (IP, por su sigla en inglés) de la computadora del cliente. Schull y Cayden comenzaron a revisar los contratos cancelados. El equipo identificó varios días en los que Fogbottom vendió productos a diversos clientes en lo que parecían ser centros comerciales del mercado de Austin. Lo que llamó la atención de Schull y Cayden fue que los contratos habían sido firmados y devueltos dentro del lapso de algunos minutos uno de otro. Y todavía más desconcertante, los contratos fueron devueltos desde la misma dirección IP.
El equipo comenzó a hacer llamadas desde el centro de servicios al cliente a los supuestos clientes para determinar por qué cancelaron sus compras. Sorprendentemente, ninguno de los teléfonos que figuraban en los contratos estaba en servicio. Además, una búsqueda de los clientes en Internet reveló que ninguno de ellos tenía presencia en dicha red. El equipo de la investigación centró su atención en los pagos iniciales recibidos que figuraban en los contratos. Solarstar requería a los representantes de ventas que cobraran un pago inicial cuando un cliente firmaba un contrato. El representante de ventas documentaría el cobro en el sistema de pedidos de la empresa. Si el pago inicial se había hecho con un cheque, el representante de ventas debería haber llevado el cheque a la oficina de ventas local a fin de que sea compilado y enviado a la caja fuerte de la empresa. Una verificación del sistema de pedidos reveló que Fogbottom dejó documentado que se obtuvieron los cheques durante el proceso de contratación, pero no se había recibido ninguno en la caja fuerte. Cayden buscó las ubicaciones de los clientes utilizando Google Earth. La búsqueda reveló que muchas de las ubicaciones de los clientes parecían no existir o haberse construido después de la última actualización de Google. Schull solicitó la ayuda del gerente general de área de Brightstar, Michael González. Un veterano que llevaba 25 años en Brightstar que había residido toda su vida en Austin, González acompañó a Schull a las ubicaciones de los clientes. No fue una sorpresa cuando Schull y González se encontraron de pie en terrenos vacíos. Schull documentó las visitas con fotografías de las supuestas ubicaciones de los clientes. Luego Schull revisó los antecedentes de empleo de Fogbottom. Una búsqueda en Internet reveló que Fogbottom había trabajado de hecho en las organizaciones que había consignado en su currículum vitae. Sin embargo, en su archivo de empleo no figuraban referencias. Schull desconfiaba acerca de por qué alguien que había sido ejecutivo de prevención de pérdidas aceptaría un puesto inferior en ventas.
Se le solicitó a Fogbottom que fuera a la oficina de Austin para una entrevista con Schull y Karol Vesey, de recursos humanos. Schull pensó que la entrevista sería desafiante dado que Fogbottom tendría una amplia experiencia en entrevistas en su función de prevención de pérdidas. En las primeras etapas de la entrevista, Fogbottom se presentó como un ejecutivo de prevención de pérdidas profesional convertido en un exitoso gerente nacional de ventas. Alardeó sobre su experiencia y conexiones en la comunidad. Cuando se le presentaron las fotografías de los terrenos vacíos, el comportamiento de Fogbottom cambió. Alegó que un contratista general de nombre Sal estaba construyendo los tres centros comerciales, y que los clientes se reunían con él en una cafetería local donde todos completaron sus contratos, uno detrás de otro. Fogbottom no podía recordar el apellido de Sal ni dar su número de contacto ni el de ninguno de sus supuestos clientes. Al principio, Fogbottom se rehusó a admitir que había falsificado los contratos en cuestión. Sin embargo, después de una prolongada entrevista, Fogbottom admitió que tenía problemas personales y que su anterior empleador lo había echado. También admitió que falsificó los contratos para obtener las comisiones porque había tenido un importante recorte salarial en su anterior función y tenía problemas para llegar a fin de mes. Fue desvinculado de la empresa, pero no se presentaron cargos, y se recuperó el dinero. Solarstar actualizó su plan de comisiones de modo de pagar a los representantes de ventas solo después de la instalación. Dos semanas después de la desvinculación de Fogbottom, Schull recibió una llamada de la oficina de Brightstar en Fresno California, donde se tenía la sospecha del mismo esquema de fraude, sospecha que resultó ser cierta.
LECCIONES APRENDIDAS
- Una combinación de actividades de control interno fundamentales ayuda a minimizar el fraude.
- Realice y actualice la evaluación de riesgos de fraude regularmente. En este caso, una evaluación de riesgos de fraude, debería haber identificado falencias en los controles del informe de pedidos pendientes, el proceso de pagos de comisiones y el proceso de conciliación de ingresos.
- Lleve a cabo las verificaciones de antecedentes apropiadas de empleados clave a fin de identificar señales de alerta de posible comportamiento no ético.
- Realice revisiones frecuentes de los informes de pedidos pendientes de instalaciones a fin de identificar actividades irregulares. Detectar cualquier explotación potencial es el mejor enfoque para minimizar consecuencias negativas involuntarias.
- Lleve a cabo conciliaciones mensuales de los ingresos por cobranzas. Las discrepancias se deberían investigar de inmediato y ser informadas en caso de no resolverlas.
José Antonio Jiménez Falcón
Socio Fundador de AIGRYS – Asociaciòn Iberoamericana de Gestiòn de Riesgos y Seguros
Economista con más de 30 años de experiencia en funciones de Auditoria Interna y Externa, así como, en la implementación y evaluación de Gestión de Riesgos, Sistemas de Control Interno, de Gobierno Corporativo y Prevenciòn de Lavado de Activos y Financiamiento al Terrorismo; en organizaciones del sector financiero y no financiero.
sábado, 4 de mayo de 2019
viernes, 3 de mayo de 2019
INDICADORES DE FRAUDE INTERNO (CAPÍTULO III): ÁMBITO INFORMÁTICO
Estándar
Entendemos por fraude interno informático aquel fraude que se consigue mediante el uso indebido de las plataformas informáticas que soportan las aplicaciones que existan en la entidad y que dan soporte al negocio de la entidad.
Se han agrupado los indicadores según el entorno en el que aplican:
- Control de Acceso.
- Integridad y Disponibilidad.
- Económicos.
Para cada uno de ellos, y en cada entidad, se deberá considerar desde qué repositorio de datos se deben obtener, y qué mecanismos y umbrales se fijan para evitar falsos positivos.
Las fuentes de datos pueden ser:
- registros de actividad del sistema o del servicio.
- ficheros o parámetros de configuración.
- librerías de programas.
- diarios del sistema.
- o los proporcionados por herramientas de seguimiento y control.
También debería especificarse el área de control que debería hacer el seguimiento.Estas áreas de control son las que deben tener los indicadores con mucho más detalle, y agrupados por diferentes conceptos, empresas, día/hora, transacciones, etc. según su experiencia, así como los umbrales o niveles a partir de los cuales generar alertas, o correlacionar con otros indicadores relacionados.
Se proponen algunas de las posibles agrupaciones.
Indicadores de Control de Acceso
- Respecto a la gestión de usuarios, se proponen como indicadores de nivel de riesgo
- Respecto a la gestión de los entornos a los que dichos usuarios tienen acceso
- En cuanto al tipo de información a la que se accede
- En cuanto a los accesos que se realizan desde puntos fuera de las instalaciones de la entidad
Indicadores de Integridad y Disponibilidad
- En cuanto al uso fraudulento de la infraestructura en beneficio propio
- En cuanto a modificaciones de los filtros de seguridad
Indicadores Económicos
- En cuanto al uso ineficiente de la infraestructura que pueda esconder algún tipo de irregularidad
- En cuanto a la calidad del software que utiliza la infraestructura
PUBLICADO POR ALBERTSALVADORLAFUENTE
Licenciado en CC Económicas y Empresariales y Auditor Interno Certificado por el IIA (The Institute of Internal Auditors), especialista en Fraude Interno, Forensic y Prevención de Blanqueo de Capitales. Cuenta con veinte años de experiencia en empresas líderes del sector bancario implantando el modelo de Corporate Assurance y mejores prácticas bancarias propuestas por el IAI (Instituto de Auditores Interno). Director de proyectos en el ámbito del fraude interno, forensic y prevención de blanqueo de capitales, implantación de modelos de auditorías normativas (CNMV, Ley de transparencia, SEPBLAC, políticas antisoborno etc) y comerciales. Ponente, profesor y colaborador en diversas publicaciones relacionados con la Auditoría, Fraude Interno, Gestión de riesgos y Compliance. Es secretario general y miembro de la Junta Directiva de la World Compliance Association Autor de dos blogs sobre la detección y prevención del fraude interno, la profesión de auditoría interna y el compliance en general: – Fraude Interno: http://www.fraudeinterno.wordpress.com – Compliance: http://www.prevenciondedelitos.wordpress.com Autor de los libros: – Fraude Interno; prevención, detección y tratamiento. (Amazon) – Actualidad Compliance 2018 (Thomson Reuters – Aranzadi) Ver todas las entradas de albertsalvadorlafuente
EL PHVA, HERRAMIENTA DE GESTIÓN EFECTIVA A LA HORA DE PROGRAMAR, EJECUTAR Y MEJORAR EL PROCESO AUDITOR.
Estándar
CREADO: 03 MAYO 2019
Por: Marco Bonilla. Colaborador de Auditool
“En la actualidad, las empresas tienen que enfrentarse a un nivel tan alto de competencia que para poder crecer y desarrollarse, y a veces incluso para lograr su propia supervivencia, han de mejorar continuamente, evolucionar y renovarse de forma fluida y constante. El ciclo PHVA de mejora continua es una herramienta de gestión presentada en los años 50 por el estadístico estadounidense Edward Deming”.
Las siglas del ciclo PHVA corresponden a las iniciales de las palabras Planificar, Hacer Verificar y Actuar.
Cada uno de estos 4 conceptos corresponde a una fase o etapa del ciclo, veamos entonces para el caso del proceso de Auditoria cuales serían los parametros de medición por ciclos:
PLANIFICAR (P): En la etapa de planificación se establecen objetivos y se identifican los procesos necesarios para lograr unos determinados resultados de acuerdo a las políticas de la organización Auditora. En esta etapa se determinan también los parámetros de medición que se van a utilizar para controlar y seguir el proceso:.
- Elaboracion de programas de auditoria
- Iniciar la auditoria.
- Definir los objetivos alcance y los criterios
- Definir los recursos.
- Revisar el procedimiento
- Designar el auditor lider.
- Determinar la viabilidad
- Conformar el equipo
- Revisar documentos.
- Preparar la auditoria de campo
- Prepaarar los papeles de trabajo, documentos, plan de auditoria, lista de verificación y solicitud de acciones correctivas,.
- Asignar trabajo al equipo auditor.
HACER (H): Consiste en la implementación de lo planificado para lograr los objetivos planteados:
- Realizar la auditoria de campo.
- Efectuar las reunión de apertura
- Definir los canales de comunicación.
- Recolectar y verificar la información.
- Generar los hallazgos de auditoria.
- Preparar las concluusiones de la auditoria
- Realizar las reuniones de cierre
VERIFICAR (V): Una vez se ha puesto en marcha el plan de mejoras, se establece un periodo de prueba para medir y valorar la efectividad de los cambios. Se trata de una fase de regulación y ajuste:
- Preparar, aprobar y distribuir el informe.
- Terminar la auditoria
- Seguimmiento y revisión
- Identificar la necesidad de acciones correctivas, preventivas y/o planes de mejoramiento
- Identificar las oportunidades de mejora.
ACTUAR (A): Realizadas las mediciones, en el caso de que los resultados no se ajusten a las expectativas y objetivos predefinidos, se realizan las correcciones y modificaciones necesarias. Por otro lado, se toman las decisiones y acciones pertinentes para mejorar continuamente el desarrollo de los procesos.
- Realizar actividades complementarias
- Realizar mejoras al programa de auditoria
IMPORTANTE: Ya está disponible la versión digital del libro Formación de Líderes de Auditoría y Control Interno. Mayor información AQUÍ
Marcbon/007
Anuncios
Suscribirse a:
Entradas (Atom)