Agente de Monitorización del SCI

Solo alrededor del 40 por ciento de las empresas valoran su propio sistema de control interno como eficiente - según un estudio de Deloitte entre empresas cotizadas y grandes empresas no cotizadas en Alemania. Al mismo tiempo, la legislación mercantil obliga al consejo de administración a establecer un sistema de supervisión que detecte precozmente desarrollos que amenacen la existencia de la empresa. La brecha entre obligación y eficacia surge casi siempre en el mismo punto: el SCI se define, pero no se supervisa de forma continua.

La verificación periódica no detecta fallos de control entre las fechas de corte

La mayoría de las empresas verifican su SCI trimestralmente o con motivo de la auditoría de cuentas anuales. Lo que ocurre entre las fechas de verificación permanece invisible. Un límite de aprobación se eleva temporalmente y nunca se restablece. Una regla de sustitución suspende el principio de cuatro ojos durante tres semanas. Un nuevo empleado recibe autorizaciones que infringen la matriz de permisos.

Estos casos no son excepcionales. Son la normalidad en organizaciones cuyo sistema de control depende de la verificación manual y periódica. El auditor externo evalúa la eficacia del SCI según las normas de auditoría y adapta su alcance de verificación en consecuencia. Un SCI que solo funciona en la fecha de corte conduce a una auditoría ampliada y mayores costes de auditoría.

La monitorización continua cierra esta ventana temporal. Cada transacción se verifica contra las actividades de control definidas - no una vez al trimestre, sino con cada asiento contable.

La falta de separación de funciones causa los mayores daños individuales

Segregation of Duties es uno de los controles más eficaces contra el fraude. Según el ACFE Report to the Nations 2024, más del 50 por ciento de todos los casos de Occupational Fraud se deben a la falta o al eludimiento de controles internos - una separación estructurada de funciones es una de las contramedidas más eficaces. La consecuencia: la pérdida media por caso, según ACFE 2024, asciende a unos 1,7 millones de USD, sobre la base de un análisis de 1.921 casos documentados de fraude en 138 países.

Un escenario concreto: un empleado de compras da de alta a un proveedor, registra el pedido y aprueba la factura para el pago. Tres roles, una persona. En un sistema ERP con una estructura de autorizaciones acumulada durante años, este conflicto permanece a menudo sin detectar, porque nadie verifica sistemáticamente la matriz de permisos contra las asignaciones de roles reales.

El agente de monitorización del SCI verifica en cada transacción si la persona ejecutante presenta un conflicto de Segregation of Duties. No como muestreo, sino de forma completa. Cada conflicto se documenta y escala según umbrales definidos.

La monitorización continua desplaza la lógica de verificación del muestreo a la verificación completa

El framework COSO define la monitorización como componente independiente del sistema de control interno - al mismo nivel que el entorno de control, la evaluación de riesgos, las actividades de control y la información. En la práctica, la monitorización es el componente que se descuida con más frecuencia porque genera el mayor esfuerzo continuo.

Un agente cambia esta ecuación. Verifica actividades de control de forma basada en reglas: si se respetó el principio de cuatro ojos, si la aprobación está dentro del límite, si la autorización coincide con la matriz. Simultáneamente detecta anomalías en datos de transacción - patrones de contabilización inusuales, acumulaciones justo por debajo de los límites de aprobación, marcas temporales sospechosas.

El resultado es un informe SCI que no se basa en muestreos, sino en la verificación de cada transacción individual. Para el auditor externo esto significa: evidencia fiable sobre la eficacia del sistema de control durante todo el período de auditoría.

El Decision Layer separa el control automatizado de la escalación humana

No todas las decisiones del SCI son adecuadas para la automatización. Verificar el principio de cuatro ojos contra una lista de comprobación es un reglamento, nivel 1. Detectar anomalías en datos de transacción requiere análisis de IA, nivel 2. Pero la decisión de cómo escalar ante un fallo de control detectado permanece en el humano.

Esta separación no es un detalle técnico. Es el prerrequisito para que el auditor externo acepte la monitorización automatizada como evidencia de auditoría. Cada verificación de control se documenta: qué se verificó, qué resultado hay, qué medida sigue. En caso de fallo, el agente registra las transacciones afectadas, el tipo de infracción y la vía de escalación.

El responsable de compliance decide sobre la medida. El agente supervisa si la medida acordada se implementa. Así se crea un circuito cerrado - desde la definición del control, pasando por la verificación, hasta el seguimiento.