Follow the Money... ¿y después qué?

En auditoría forense existe un principio ampliamente conocido. Follow the Money. Siga el rastro del dinero. Su lógica es sencilla. Cuando un investigador intenta reconstruir un esquema de fraude, sigue el recorrido del dinero. Las transferencias bancarias, los pagos, los registros contables y los movimientos financieros permiten identificar quién autorizó una operación, quién recibió los recursos y quién terminó beneficiándose del fraude. Pero hace muchos años comencé a hacerme una pregunta. ¿Qué ocurre cuando ese dinero cambia de forma? Porque el dinero no desaparece cuando una empresa compra un motor, un rodamiento, una válvula, un reactivo o un repuesto crítico. Simplemente deja de estar representado en una cuenta bancaria para convertirse en patrimonio operativo. Y fue entonces cuando surgió otra pregunta. Si el dinero ya se transformó en patrimonio operativo, ¿cómo preservamos su trazabilidad dentro de la operación? Esa inquietud me acompañó durante un proyecto de implementación de SAP liderado por IBM. Nos encontrábamos en la etapa de Blueprint, donde se analizan los procesos del negocio y se definen muchas de las reglas con las que posteriormente operará el sistema. Durante una de esas sesiones pregunté si las transferencias entre almacenes podían parametrizarse para requerir niveles adicionales de aprobación o generar alertas automáticas para las jefaturas. El consultor me devolvió la pregunta. —¿Por qué? Le respondí que una transferencia entre almacenes podía utilizarse para trasladar diferencias de inventario entre distintas ubicaciones, dificultando la trazabilidad del patrimonio operativo y retrasando la investigación de un faltante. Su respuesta fue inmediata. —En Alemania, no se hace ese tipo de triquiñuelas. Confieso que aquella respuesta me dejó completamente desconcertado. No porque estuviera cuestionando SAP. Ni porque dudara de la experiencia del consultor. Simplemente no encontraba la relación entre una pregunta sobre el diseño de un control y una respuesta basada en un comportamiento cultural. Al notar mi reacción, agregó: —Lo que usted plantea requiere un desarrollo especial. Y la reunión continuó. Con el paso de los años comprendí que aquella conversación nunca trató realmente sobre SAP. Tampoco sobre IBM. Trató sobre los supuestos con los que construimos nuestros controles. Mientras yo estaba preocupado por preservar la trazabilidad del patrimonio operativo, el consultor respondía desde un supuesto de confianza. Mi pregunta nunca fue si alguien estaba haciendo trampa. Mi pregunta era otra. ¿El proceso conservaría la trazabilidad del patrimonio operativo el día en que alguien decidiera utilizar una transacción legítima para un propósito distinto al previsto? Fue entonces cuando comprendí que los controles no solo responden a riesgos. También reflejan los supuestos bajo los cuales fueron diseñados. Si el supuesto es que nadie utilizará una transacción para un fin diferente al previsto, probablemente nunca se considere necesario fortalecer ese control. Pero cuando ese supuesto cambia, el mismo proceso puede convertirse en una oportunidad para ocultar pérdidas patrimoniales sin vulnerar el sistema. Quizá por eso siempre me llamó la atención otra diferencia. Si una caja contiene US$ 10,000 en efectivo, nadie discute la necesidad de arqueos, segregación de funciones, autorizaciones y revisiones independientes. Si esos mismos US$ 10,000 están representados en materiales, suministros o repuestos almacenados, solemos aceptar modelos de control distintos. Y, sin embargo, para la empresa ambos representan exactamente el mismo patrimonio. Tal vez esa diferencia tenga una explicación histórica. Aprendimos a Follow the Money. Y ese principio ha demostrado ser extraordinariamente eficaz para investigar el fraude financiero. Pero el patrimonio no desaparece cuando el dinero sale de la cuenta bancaria. Simplemente cambia de forma. Se convierte en materiales. En equipos. En suministros. En servicios. En definitiva, se convierte en patrimonio operativo. Quizá el siguiente paso no sea únicamente Follow the Money. Quizá también debamos seguir el patrimonio operativo cuando cambia de forma. Porque el dinero sale de la cuenta bancaria. El patrimonio nunca. Y mientras ese patrimonio continúa su recorrido dentro de la operación, también debería continuar nuestra capacidad para seguir su trazabilidad. Tal vez allí se encuentre una de las diferencias entre diseñar procesos para operar eficientemente y diseñarlos para resistir el fraude.