Agente de Detección de Fraude

Las organizaciones pierden de media el cinco por ciento de su facturación anual por fraude. Así lo cuantifica la Association of Certified Fraud Examiners en su Report to the Nations 2024, basado en 1.921 casos investigados con un daño total de 3.100 millones de dólares (unos 2.850 millones EUR). La mayoría de estos casos no fueron descubiertos por controles internos, sino por denuncias. Los procedimientos de verificación basados en reglas detectan lo que conocen. Lo que no conocen permanece invisible - a menudo durante años.

Los procedimientos de auditoría clásicos fracasan ante la lógica de muestreo

La auditoría por muestreo parte de una premisa: si una proporción suficientemente grande de las transacciones es correcta, se puede extrapolar al conjunto. El fraude invalida esta premisa. Un proveedor fantasma que durante 18 meses contabiliza importes pequeños justo por debajo del umbral de aprobación no aparece en ningún muestreo. La división de umbrales - por ejemplo, una factura de 9.900 EUR en lugar de 10.000 EUR para eludir el nivel de aprobación - parece inofensiva en el análisis individual.

Solo la verificación completa de todas las transacciones hace visibles estos patrones. No mediante reglas más estrictas, sino mediante detección estadística de anomalías: ¿qué proveedor no tiene ni un solo pedido de compras, pero recibe pagos regulares de contabilidad? ¿Qué centro de costes contabiliza los viernes por la noche, cuando ya nadie revisa? Los sistemas basados en reglas no formulan estas preguntas, porque nadie las ha codificado como regla.

Los documentos generados por IA desplazan el panorama de amenazas

Hasta 2024, las facturas falsificadas eran artesanalmente detectables - tipografías incorrectas, sellos ausentes, NIF-IVA inconsistentes. Esto ha cambiado fundamentalmente. Según Feedzai AI Fraud Trends 2025, más del 50 por ciento de todos los casos actuales de fraude utilizan inteligencia artificial, y el 75 por ciento de los profesionales antifraude reportan un aumento significativo de falsificaciones generadas por GenAI en los últimos dos años. Chris Juneau, SVP en SAP Concur, lo resumió así: “Do not trust your eyes.”

Para los departamentos de Finance esto significa una nueva línea de defensa. Los deepfakes generados por IA superan la verificación visual y a menudo también la validación basada en reglas. Lo que los delata son inconsistencias en metadatos, estructuras documentales atípicas y anomalías estadísticas en contexto - por ejemplo, un nuevo proveedor cuya primera factura coincide exactamente con el patrón de importes de un proveedor existente. Este análisis requiere IA entrenada en autenticidad documental.

Diez pasos de decisión separan la señal de la falsa alarma

El Decision Layer descompone la detección de fraude en una cadena de diez decisiones con tres tipos de decisores. Tres pasos son basados en reglas: detección de duplicados, fraude de gastos según umbrales definidos y violaciones de Segregation of Duties contra la matriz de autorizaciones. Cinco pasos utilizan análisis de IA: proveedores fantasma, anomalías de contabilización, autenticidad documental, Round-Tripping en redes de pago y el scoring de riesgo agregado. Dos pasos corresponden al ser humano: la decisión de escalación y la evaluación final de si una alerta está justificada.

Escenario concreto: una empresa industrial mediana con 40.000 facturas entrantes al año. El agente detecta que un proveedor de material de embalaje lleva seis meses presentando facturas con el mismo importe neto, pero con descripciones de artículos ligeramente variantes. Simultáneamente, el análisis de red muestra que la cuenta bancaria de este proveedor está vinculada a un empleado del departamento de compras. Individualmente, ninguna de estas señales constituye una prueba. En combinación, generan un score de riesgo que activa la escalación al responsable de compliance.

El responsable de compliance decide - no el algoritmo

Seis de los diez pasos de decisión utilizan análisis de IA. Esto convierte a este agente en el más intensivo en IA de todo el catálogo. Sin embargo, ningún algoritmo toma la decisión de si una sospecha se convierte en investigación. El Decision Layer documenta cada alerta con el patrón desencadenante, las transacciones afectadas, el score de riesgo y la marca temporal. El responsable de compliance evalúa sobre esta base si se trata de un falso positivo o si se inicia una investigación.

Este principio no es opcional. La ISA 240 obliga al auditor a evaluar los riesgos de fraude. Un sistema de detección documentado de forma trazable - con alertas registradas, vías de escalación y resultados de investigación - es una señal concreta de la eficacia del sistema de control interno. Quien documenta cada alerta sin lagunas fortalece no solo la defensa, sino también la auditabilidad según las normas de auditoría y los requisitos del sistema de detección temprana de riesgos conforme a la legislación mercantil aplicable.