Fraude digital y control interno: por qué el phishing ya no es un problema de TI

El fraude digital ha dejado de ser un asunto exclusivo del área de tecnología para convertirse en un riesgo financiero, operativo y de gobierno corporativo. Dentro de este escenario, el phishing se ha consolidado como una de las amenazas más frecuentes y efectivas, no por su complejidad técnica, sino por su capacidad de explotar debilidades humanas y fallas en el control interno.

Desde la auditoría y la consultoría, el phishing no debe entenderse como un incidente aislado, sino como un indicador claro de riesgos mal identificados o insuficientemente gestionados.

¿Qué es realmente el phishing?

El phishing es una modalidad de fraude digital basada en la suplantación de identidad, mediante la cual un tercero induce a una persona a revelar información sensible credenciales, datos bancarios, accesos a sistemas o autorizaciones aparentando ser una entidad legítima. En la práctica actual, este tipo de fraude ha evolucionado hacia esquemas dirigidos y altamente creíbles, que incluyen correos o mensajes que simulan bancos, proveedores, gerencia general o entes reguladores, solicitudes urgentes de pago o cambios de cuentas bancarias y comunicaciones diseñadas con conocimiento previo de la estructura y las operaciones de la organización.

Su efectividad no radica en la tecnología utilizada, sino en la ingeniería social y en la presión por actuar con rapidez.

El phishing visto desde el control interno y la auditoría

Desde la óptica de marcos como COSO ERM, COSO Control Interno y las Normas Internacionales de Auditoría relacionadas con fraude y evaluación de riesgos (NIA 240 y NIA 315), el phishing debe tratarse como un riesgo operativo y financiero relevante. Un ataque exitoso suele evidenciar problemas estructurales más profundos, como controles débiles de autorización en pagos y transferencias, deficiencias en la segregación de funciones en procesos financieros críticos, cambios en datos maestros sin validación independiente, controles que existen en documentos pero no operan de forma consistente y una capacitación insuficiente del personal en materia de fraude digital.

En este contexto, el error humano rara vez constituye la causa raíz del problema; por el contrario, suele ser la última línea de defensa que falla cuando otros controles no existen o no funcionan adecuadamente.

Impacto del phishing en auditorías financieras

El fraude digital tiene efectos directos sobre áreas sensibles de los estados financieros, particularmente caja y bancos, cuentas por pagar, resultados y patrimonio, así como sobre las revelaciones relacionadas con eventos posteriores, contingencias y riesgos significativos. Por esta razón, el phishing debe incorporarse explícitamente dentro de la evaluación del riesgo de fraude, especialmente en organizaciones con alto volumen de operaciones electrónicas o fuerte dependencia de pagos digitales.

Señales de alerta que no deben ignorarse

Desde la experiencia profesional, existen señales recurrentes que suelen preceder a incidentes de phishing, entre ellas solicitudes urgentes de pago fuera del flujo normal de aprobación, cambios de cuentas bancarias comunicados únicamente por medios electrónicos, presiones inusuales por confidencialidad o por evitar validaciones y la ausencia de mecanismos de doble autorización o confirmación independiente. Estas señales no constituyen evidencia de fraude por sí mismas, pero sí justifican un mayor escepticismo profesional.

El valor de la consultoría: prevenir antes que corregir

Mientras la ciberseguridad se enfoca en proteger sistemas y plataformas, la auditoría y la consultoría financiera se enfocan en proteger decisiones, procesos y recursos. Un enfoque preventivo implica realizar diagnósticos de riesgos de fraude digital, evaluar el diseño y la operación de los controles internos financieros, revisar procesos de pagos y autorizaciones, establecer protocolos de validación independiente y capacitar de forma práctica al personal clave.

La experiencia demuestra que invertir en prevención resulta considerablemente menos costoso que enfrentar pérdidas financieras, conflictos legales o daños reputacionales.

Conclución

El phishing no es únicamente un problema tecnológico; es un riesgo de negocio que refleja el nivel de madurez del control interno y de la gestión de riesgos de una organización. Para juntas directivas, gerencias y responsables financieros, la pregunta ya no es si existirá un intento de fraude digital, sino qué tan preparada está la organización para detectarlo, prevenirlo y responder oportunamente.

Evaluar estos riesgos a tiempo permite fortalecer los controles antes de que un incidente se materialice en una pérdida financiera o reputacional.

Jorge Gutiérrez Guillén, CPA
Socio Fundador | JGutierrez Auditores Consultores S.A.
Costa Rica | 🌐 consultoresjg.com
+506 2552-5433 | +506 8811-5090
[email protected]

#GestiónDeRiesgos #AuditoríaEstratégica #FraudeDigital #ControlInterno #JGutierrezAuditores