Control interno y segregación de funciones en el ciclo de ingresos
Distribuidora Andina, S.A. procesa 1,200 facturas mensuales. El sistema ERP permite que el cajero modifique precios y condiciones de crédito, aplique cobros y genere notas de crédito sin aprobación. En el último trimestre se detectaron 14 notas de crédito por $620,000 emitidas a clientes sin documentación de devolución. El auditor interno informó que el 30% de los usuarios tienen perfiles con privilegios excesivos y que no existe revisión de la bitácora del sistema. La gerencia general pide al contador que 'no alarme' porque los montos son pequeños frente a las ventas anuales de $180,000,000.
1. Identifique las deficiencias de control interno y clasifíquelas por componente del marco de control.
Read the worked answer
Deficiencias identificadas:
- Ambiente de control: la gerencia minimiza hallazgos y presiona para no reportarlos; falta de tono ético desde la alta dirección.
- Evaluación de riesgos: no se identifican riesgos de fraude en notas de crédito ni en accesos privilegiados.
- Actividades de control: ausencia de segregación de funciones (el cajero modifica precios, aplica cobros y genera notas de crédito); falta de aprobación de notas de crédito y de revisión de la bitácora.
- Información y comunicación: no hay canal para reportar irregularidades ni revisión de la bitácora del sistema.
- Supervisión (monitoreo): no existen controles de monitoreo continuo sobre accesos y transacciones inusuales.
Riesgo principal: fraude por notas de crédito ficticias y manipulación de precios, con posible colusión con clientes.
2. Proponga controles correctivos y explique por qué el argumento de 'montos pequeños' no es válido.
Read the worked answer
Controles correctivos propuestos:
- Segregación de funciones: separar facturación, cobranza, aplicación de pagos y emisión de notas de crédito; implementar aprobación por un segundo nivel.
- Control de accesos: revisar y reducir perfiles privilegiados; aplicar el principio de menor privilegio y autenticación multifactor.
- Autorización de notas de crédito: requerir documentación de devolución, aprobación del gerente de crédito y límite de monto.
- Monitoreo: revisión mensual de la bitácora, alertas automáticas por notas de crédito sin soporte y conciliaciones independientes.
- Canal de denuncias y capacitación en ética.
Por qué 'montos pequeños' no es válido: la materialidad no se mide solo en relación con las ventas. Las 14 notas de crédito sin soporte indican un patrón de fraude potencial, no un error aislado. El riesgo cualitativo (pérdida de confianza, posible colusión, debilidad sistémica) prevalece sobre el monto. Además, $620,000 en un trimestre puede escalar; el control debe corregirse por su naturaleza, no por su cuantía.