En un entorno donde los ataques cibernéticos crecen exponencialmente, las instituciones financieras en Costa Rica atraviesan un momento de particular vulnerabilidad. Lo confirmamos a diario en nuestra práctica profesional: clientes que reportan accesos indebidos a cuentas, estados bancarios alterados, intentos de fraude con correos financieros falsos y enlaces fraudulentos que buscan comprometer su información sensible.

Hoy, más que nunca, los auditores internos tienen la responsabilidad de garantizar que los riesgos digitales estén bajo control. Este artículo resume los principales hallazgos y recomendaciones:

• Incidentes recientes más relevantes en Costa Rica.
• Impacto real del fraude digital en la contabilidad.
• Marcos de referencia y regulaciones aplicables.
• Checklist práctico de ciberseguridad para auditores.
• Recomendaciones estratégicas para fortalecer los planes antifraude.

Una amenaza que ya está aquí

Los fraudes digitales son ya una de las principales amenazas para la estabilidad del sistema financiero costarricense. Desde ataques de phishing en tesorerías hasta intrusiones en sistemas ERP, el impacto sobre la información financiera y la reputación corporativa es innegable.

Hoy el auditor interno no solo revisa documentos: también evalúa defensas digitales, cultura organizacional y capacidad de respuesta ante incidentes.

Casos recientes en Costa Rica

• Ransomware en manufactura y servicios: paralización de operaciones y millonarios costos de rescate.
• Phishing en áreas financieras: transferencias no autorizadas tras suplantación de gerentes.
• Fraudes en plataformas de pago digital: exposición de datos sensibles de clientes y severas pérdidas reputacionales.

Estos casos evidencian que los controles internos tradicionales ya no bastan.

Regulación y cumplimiento local

El marco costarricense exige disciplina en seguridad de la información:

• Ley 8968: protección de datos personales.
• Lineamientos de SUGEF y SUGEVAL: requisitos de seguridad para supervisados.
• Estrategia Nacional de Ciberseguridad del MICITT.

El incumplimiento puede generar pérdidas económicas, sanciones regulatorias y responsabilidades legales.

Impacto financiero del fraude digital

• Pérdidas directas en los estados financieros.
• Costos extraordinarios de recuperación tecnológica.
• Contingencias legales por violación de datos.
• Deterioro de activos intangibles como confianza y reputación.

El auditor debe evaluar provisiones, revelaciones y transparencia financiera ante estos riesgos.

Marcos y metodologías de apoyo

Los auditores cuentan con marcos reconocidos internacionalmente:

• COBIT 2019 – Gobierno de TI.
• ISO/IEC 27001 – Gestión de seguridad de la información.
• NIST CSF – Diagnóstico y madurez digital.
• COSO ERM – Integración de riesgos digitales al control interno.

Un plan antifraude en la era digital

Un programa sólido debe integrar:

• Mapa de riesgos digitales en procesos críticos.
• Controles tecnológicos efectivos (MFA, monitoreo continuo, pruebas de penetración).
• Capacitación práctica y constante.
• Canales anónimos de denuncia.
• Simulacros de respuesta con participación conjunta de finanzas, TI y auditoría.

Herramientas para auditores

• Data analytics: detección de anomalías masivas.
• Machine learning: predicción de patrones de fraude.
• Monitoreo en tiempo real: alertas inmediatas.
• Plataformas digitales: centralización de evidencias.

Cultura organizacional: el factor crítico

La ciberseguridad es, en esencia, una decisión cultural y de liderazgo. Requiere:

• Compromiso visible desde la Alta Dirección.
• Incentivos para reportar incidentes sin temor.
• Ética y responsabilidad digital en la inducción y la formación continua.

Caso ilustrativo

Una empresa comercial en Costa Rica perdió más de ₡150 millones tras un ataque de phishing dirigido a su tesorería. La falta de segregación de funciones y la ausencia de autenticación multifactor facilitaron el fraude.

Tras el incidente, la compañía implementó un plan antifraude digital, capacitaciones periódicas y monitoreo automatizado, reduciendo significativamente su exposición.

Próximos pasos para las empresas costarricenses

1. Realizar un diagnóstico de ciberseguridad alineado a ISO 27001 o NIST.
2. Integrar los riesgos digitales en el plan antifraude corporativo.
3. Invertir en programas de concientización para colaboradores.
4. Fortalecer los mecanismos de monitoreo y respuesta.
5. Asegurar que la Junta Directiva supervise y respalde la estrategia.

Reflexión final

La ciberseguridad ya no es un asunto técnico: es un pilar del gobierno corporativo y de la auditoría moderna. En un entorno donde las instituciones financieras costarricenses son blanco constante de fraudes digitales, los auditores deben evolucionar hacia un rol estratégico que combine visión financiera con conocimiento tecnológico.

Solo así las organizaciones podrán ser más resilientes, confiables y sostenibles en un entorno cada vez más hostil.

Jorge Gutiérrez Guillén, CPA
Socio Fundador | JGutierrez Auditores Consultores S.A.
Costa Rica

Fuentes:

• Banco Central de Costa Rica (BCCR) – Informes de ciberseguridad.
• ISACA. COBIT 2019 Framework for Governance and Management of Enterprise IT.
• ISO/IEC 27001. Information Security Management Systems.
• NIST. Cybersecurity Framework.
• Ley 8968 – Protección de datos personales (Costa Rica).
• OEA (2024). Informe de Ciberseguridad en América Latina y el Caribe.

#Ciberseguridad #AuditoríaInterna #FraudeDigital #GestiónDeRiesgos #CostaRica