Tesorería Digital vs el Fraude Interno en las Empresas
Cuesta escribir sobre esto. A nadie le gusta hablar de procesos o sistemas que son vulnerados. Por ejemplo, cuando personas que trabajan en una empresa son cómplices o protagonistas del robo de dinero de dicha empresa. Pero pasa.
J. Troncoso Ostornol
¿Por qué pasa?
El fraude: hormiga y no tan hormiga
En realidad ninguna empresa de cierta envergadura puede prevenir absolutamente todos los fraudes internos. Porque hay una ecuación que aprendí cuando me dediqué a medios de pago pero que aplica también acá: Siempre hay que balancear el costo del fraude con el costo de prevenir el fraude.
A veces hay fraudes tan chicos que no vale demasiado la pena diseñar complejos procesos para evitarlos. Porque la complejidad trae costos y esos costos pueden terminar siendo mayores que el fraude que pretendes evitar 😒.
Lo tricky acá es que un cambio en la frecuencia de un fraude hormiga (por ejemplo porque alguien se envalentona al no verse descubierto su fraude chico, o se corre un poco la voz) provoca que el impacto agregado no sea nada de hormiga (como pasa con el robo hormiga y el retail).
Otras veces los posibles fraudes no son tan chicos y se introducen procesos más complejos (un clásico en procesos de aprobación de pagos). Pero esa complejidad al mismo tiempo que mitiga riesgos, introduce nuevos riesgos. Donde hay complejidad siempre aparecen casos de bordes. Detalles de cómo interactúan las cosas cuando ocurren excepciones. Detalles que se suelen dominar o resolver en lo táctico/micro, pero que escapan a lo estratégico/macro. Son los rincones menos conocidos en la operación de pagos (o en la contabilidad). Casi siempre hay gente honesta a cargo de estos rincones. Pero no siempre.
Cuando se explotan estas vulnerabilidades que residen en rincones de procesos complejos, suele tomar meses o trimestres (¡o años!) hasta que alguien se da cuenta. Típicamente alguna persona en tesorería, contabilidad o auditoría. Ojalá.
Porque sólo sabemos de estas cosas cuando se descubren. Conocemos la punta del iceberg. No sabemos lo que no descubrimos, ni su impacto. No sabemos cuánto hay sumergido en el iceberg.
El error humano
Los humanos somos fascinantes, pero imperfectos.
En las empresas diseñamos procesos para parchar imperfecciones nuestras. O sumamos tecnologías. Pero somos las personas (todavía y según yo por un buen rato) quienes definimos aquellos procesos. Y la tecnología avanza super rápido, por lo que algo implementado hace 20 o 10 años, puede estar muy lejos de ser la mejor tecnología disponibles.
La conclusión obvia es que si no estamos continuamente revisando y rediseñando los procesos (y renovando la tecnología), vamos a quedar más expuestos al error humano de lo que nos gustaría.
Hay procesos que cuando haces zoom tienen menos sentido del que parece. Veamos un sencillo ejemplo, lejos de ser el único.
Cuando alguien entra a un banco para aprobar una nómina que incluye 256 pagos, ¿Revisa cada pago uno por uno? Típicamente esta persona es un apoderado bancario (socio, parte del C-level o algún nivel gerencial). ¡A veces no tiene mucho contexto de qué significa cada línea ni menos de cómo auditarlo! Y aunque lo tuviera, ¿existe tiempo para revisar línea por línea?
Lo común es que alguien del área de pagos o tesorería está apurando a ese apoderado para que apruebe el pago antes de las 12pm, 2pm, 4pm o el límite que sea que pone el banco para que se alcancen a ejecutar los pagos a tiempo.
Lo racional es tal vez mirar que el monto total haga sentido. Quizás que se parezca a una nómina de pago anterior (si son periódicos). Y si salta alguna duda, preguntar si otras personas revisaron bien esto.
Pero digamos que eran pagos a proveedores. ¡La empresa tiene mucha más información sobre cada uno de esos pagos de esa nómina! Órdenes de compra, contratos, aprobaciones extensivas de contrapartes del proveedor. Todo eso vive en el ERP. Si se trataba de reembolsos a clientes, hay información en el CRM.
¿Reembolsos de gastos? También suele haber un sistema. Con una historia. ¿Es este reembolso extraordinario en monto? ¿Quién lo aprobó? ¿Cuánto se reembolsa comúnmente al mes en esta área? Nada de eso es información disponible a la hora de aprobar una sábana de información que girará irreversiblemente dinero de la cuenta.
Es fácil equivocarnos así. Incluso con controles y procesos complejos diseñados para minimizar algunos fraudes.
Es como que a los pilotos de avión les digan que es seguro aterrizar, y luego para completar la maniobra les apaguen gran parte de los instrumentos (esos que les permiten comprobar constantemente, realmente, con un grado increíble de seguridad, que el avión se comporta como debiera mientras aterriza).
El acierto humano
¿Se resuelve todo con conexiones machine-to-machine (que en Shinkansen nos encantan para muchos casos de uso en fintech y empresas tecnológicas)?
No realmente. El criterio humano es demasiado valioso en organizaciones complejas o en casos excepcionales. Y también la relación humana es demasiado valiosa. Queremos que alguien (de carne y hueso) esté a cargo de algunas cosas importantes.
En Shinkansen hemos creado una plataforma ("Shinkansen Treasury") que combina 3 elementos muy potentes
- Conectamos con sistemas existentes en las empresas para disponibilizar en un solo lugar información clave relativa a los pagos, que suele estar fragmentada.
- Conectamos con bancos de manera segura y eficiente (nos toma radicalmente menos que lo que históricamente demoran estas conexiones) para que también la información que vive en el banco esté disponible. Saldos, movimientos, historia en general que además de acelerar conciliaciones, también se puede contrastar con contabilidad para levantar alertas (un agente malintencionado interno puede tal vez modificar tus asientos contables, pero jamás podrá cambiar la información que tiene el banco).
- Ponemos esa información en nuestra plataforma para que las personas que toman decisiones aprueben o revisen pagos (o hagan auditorías eficientes, olvídate de usar un PDF para revisar que pasó). Usamos mucha tecnología para mostrar la información relevante y detectar patrones pero manteniendo el rol de las personas que toman las decisiones y la responsabilidad sobre esas decisiones. O meta-decisiones. Ejemplos sencillos que se pueden configurar con pocos clicks en Shinkansen Treasury:
- Si el identificador fiscal del destino (ej: el RUT en Chile) es parte de las empresas del grupo, aprobar el pago con un flujo menos exigente (porque el riesgo es mucho menor, la transacción es probablemente reversible sin molestar a nadie externo, etc)
- Si el pago corresponde a una orden de compra que no cuenta con todas las aprobaciones posteriores que le corresponden en el ERP (ej: falta la hoja de entrada de servicios o documento de entrada de mercancías), levantar una alerta.
- Si el identificador fiscal de destino no coincide con el del proveedor, rechazar.
Y cuando conectas todas estas puntas y centralizas el flujo de aprobación... todos los movimientos se vuelven absolutamente trazables.
...Y más
Seguro han escuchado sobre los beneficios de una Tesorería Digital como la que habilitamos con Shinkansen Treasury para hacer procesos más eficientes/automatizados o para habilitar flujos de pagos en tiempo real.
Como hemos visto, también hay muchísimo valor a la hora de mejorar procesos y renovar tecnología con miras a prevenir el fraude, sea grande u "hormiga". Porque la tecnología es más eficiente y diligente que nosotros los humanos a la hora de revisar miles, millones o billones de data points y detectar irregularidades. No esperar a que una persona diligente en tesorería, contabilidad o auditoría detecte algo raro después de meses/trimestres/años. La detección con tecnología puede ser mucho más rápida. La detección con tecnología puede dispararse antes de que el fraude se complete.
También la centralización de información de Shinkansen Treasury (via conexión a bancos e integración a sistemas internos están algo fragmentados) trae beneficios para otros controles posteriores (¿cuántas veces hemos visto que alguien escapa a controles vía "photoshopear" un estado de cuenta bancario?), para la propia auditoría y también tomas de decisiones data-driven (¿qué empresa tiene un data lake con sus transacciones bancarias?)
Es decir, los beneficios de centralizar la información de los procesos de tesoreria y pagos van mas allá de la prevención de fraude. Se trata, al final, de gestionar decisiones (tanto humanas como tecnológicas) con más información, de mejor calidad.