La trabajadora ha sido condenada a cuatro años de prisión y el caso evidencia los riesgos de conceder amplias facultades bancarias sin límites, alertas ni mecanismos internos de doble control
Por Luis Ferrer Abogado
Dar acceso a las cuentas bancarias de una empresa a un trabajador puede ser imprescindible para el funcionamiento cotidiano del negocio. Pagar proveedores, gestionar nóminas o realizar transferencias son operaciones habituales que muchas sociedades delegan en su personal administrativo.
El problema aparece cuando esa delegación se convierte en control prácticamente exclusivo sobre el dinero de la empresa.
Una administrativa ha sido condenada a cuatro años de prisión después de desviar 271.284 euros aprovechando las facultades que tenía para operar con las cuentas bancarias sin que existiera una supervisión suficiente.
El caso tiene una evidente dimensión penal, pero contiene también una importante enseñanza empresarial: autorizar a un empleado para realizar transferencias no debería significar entregarle un poder económico ilimitado y sin controles.
Límites cuantitativos, avisos automáticos, revisiones periódicas y sistemas de doble autorización para determinadas operaciones pueden evitar que una relación de confianza termine convirtiéndose en un grave perjuicio patrimonial.
271.284 euros desviados desde una posición de confianza
La cantidad desviada muestra la dimensión que puede alcanzar un fraude interno cuando la persona que lo realiza dispone de acceso continuado a la operativa bancaria.
La trabajadora no necesitaba necesariamente superar una barrera externa para acceder al dinero.
Precisamente su puesto le permitía operar con las cuentas.
Esta circunstancia diferencia estos casos de muchas estafas tradicionales. El problema no consiste en que un desconocido consiga fraudulentamente las claves bancarias, sino en que una persona inicialmente autorizada utiliza las facultades que legítimamente recibió para una finalidad completamente diferente.
Es la diferencia entre tener acceso al dinero y tener derecho a apropiarse de él.
Estar autorizado para transferir dinero no significa poder disponer libremente de él
Este punto resulta esencial desde el punto de vista jurídico.
Una empresa puede autorizar a una administrativa para efectuar pagos a proveedores.
Esa autorización tiene una finalidad concreta.
No significa que el dinero pase a estar a libre disposición de la trabajadora.
Lo mismo sucede con quien dispone de una tarjeta de empresa, gestiona una caja o tiene autorización para operar con banca electrónica.
La facultad de ejecutar materialmente una operación no equivale a la facultad de decidir libremente el destino del patrimonio empresarial.
Cuando se utiliza ese acceso para desviar fondos en beneficio propio o para una finalidad ajena a la autorizada, la conducta puede adquirir relevancia penal.
El abuso de confianza agrava la dimensión del problema
Los fraudes internos suelen ser especialmente difíciles de detectar porque se producen dentro de una relación de confianza.
La persona conoce los procedimientos de la empresa.
Sabe quién revisa las cuentas, cuándo se realizan las conciliaciones, qué conceptos suelen utilizarse en las transferencias y qué operaciones pueden pasar inadvertidas.
Y cuanto mayor sea la autonomía del trabajador, mayor puede ser el tiempo durante el cual las irregularidades permanezcan ocultas.
Por eso los controles internos no deberían diseñarse pensando únicamente en posibles ataques externos.
La seguridad económica de una empresa también debe contemplar los riesgos derivados de un uso indebido de autorizaciones legítimamente concedidas.
El gran error: una misma persona puede ordenar, ejecutar y ocultar la operación
Uno de los principios más importantes del control financiero consiste en evitar una concentración excesiva de funciones.
Si una misma persona puede:
ordenar un pago,
ejecutar la transferencia,
acceder a los extractos,
contabilizarla,
y conciliar posteriormente la cuenta,
el sistema tiene una debilidad evidente.
Quien realiza una operación irregular puede encontrarse también en posición de dificultar su detección.
Por eso resulta aconsejable separar funciones siempre que el tamaño y organización de la empresa lo permitan.
La segunda firma puede evitar transferencias no autorizadas
Uno de los mecanismos más sencillos consiste en establecer un sistema de doble autorización para operaciones relevantes.
El trabajador puede preparar una transferencia, pero otra persona debe aprobarla antes de que el banco la ejecute.
No necesariamente tiene que aplicarse el mismo sistema a cualquier pago.
Una empresa puede establecer diferentes niveles.
Las operaciones ordinarias de escasa cuantía pueden tramitarse mediante un procedimiento sencillo, mientras que aquellas que superen determinados importes pueden necesitar una segunda validación.
La finalidad es evitar que una única persona concentre todo el poder de disposición.
Los límites bancarios también son una medida de seguridad
Muchas empresas conceden permisos excesivamente amplios por comodidad.
Si un trabajador necesita realizar pagos habituales de cuantías moderadas, puede no existir una razón operativa para permitirle transferencias de importes extraordinariamente superiores.
Los límites diarios o por operación pueden funcionar como una barrera adicional.
No eliminan completamente el riesgo, pero dificultan que una actuación irregular alcance grandes cantidades antes de ser detectada.
Los avisos automáticos pueden descubrir el problema inmediatamente
La banca electrónica permite establecer alertas para numerosas operaciones.
Una transferencia superior a una determinada cantidad, la incorporación de un nuevo beneficiario o una operación realizada en circunstancias inusuales pueden generar una notificación a otra persona de la empresa.
Esto introduce una diferencia decisiva:
una operación puede ser detectada en minutos en lugar de meses.
En un fraude continuado, la rapidez en la detección puede determinar la cuantía final del perjuicio.
Revisar el saldo no es lo mismo que supervisar las cuentas
Una empresa puede consultar periódicamente cuánto dinero tiene y, aun así, no realizar un verdadero control.
La supervisión debería incluir la revisión de movimientos.
¿Quién recibió el dinero?
¿Por qué?
¿Existe una factura?
¿Coincide el importe?
¿Era un proveedor habitual?
¿Quién autorizó el pago?
Las conciliaciones bancarias y contables son una herramienta esencial precisamente porque permiten comprobar que cada salida de dinero tiene una justificación empresarial.
Cuidado con los nuevos beneficiarios
Una medida preventiva especialmente sencilla consiste en establecer controles adicionales cuando se crea un nuevo destinatario de transferencias.
Si durante años una empresa paga regularmente a determinados proveedores y de repente aparecen cuentas nuevas, el sistema debería permitir comprobar quién las ha incorporado y por qué.
En algunos casos puede establecerse incluso una autorización específica para modificar o añadir beneficiarios.
La seguridad no debería concentrarse únicamente en el importe.
También importa a quién se envía el dinero.
Las vacaciones pueden descubrir irregularidades
Existe un fenómeno conocido en el ámbito del fraude interno: determinadas irregularidades salen a la luz cuando la persona que controla una función se ausenta y otro empleado debe asumirla.
Esto explica por qué la rotación de determinadas funciones y la existencia de sustituciones reales pueden tener también una utilidad preventiva.
Si solo una persona sabe cómo funciona una determinada operativa financiera, existe además un problema organizativo con independencia de que haya fraude.
La empresa se vuelve excesivamente dependiente de un único trabajador.
La confianza no sustituye al control
Este es probablemente el principal mensaje empresarial del caso.
Supervisar no significa desconfiar personalmente de los trabajadores.
Los controles internos protegen tanto a la empresa como a los propios empleados.
Si existe una doble autorización, queda perfectamente identificado quién ordenó y quién aprobó cada operación.
Si se registran los accesos, pueden reconstruirse los movimientos.
Si las funciones están separadas, se reduce la posibilidad de que posteriormente surjan acusaciones ambiguas sobre quién realizó una determinada actuación.
Un buen sistema de control proporciona trazabilidad.
Cuatro años de prisión: las consecuencias penales pueden ser muy graves
En el supuesto analizado, la administrativa ha sido condenada a cuatro años de prisión por unos hechos que ocasionaron un perjuicio de 271.284 euros.
Esto demuestra que la utilización ilegítima del dinero empresarial no constituye simplemente una infracción laboral.
Dependiendo de cómo se desarrollen los hechos, puede existir responsabilidad penal y, además, la obligación de reparar económicamente el perjuicio ocasionado en los términos que se determinen judicialmente.
La concreta calificación penal dependerá siempre de las características del caso.
Por ello, no debe suponerse que cualquier uso indebido de una tarjeta o cualquier transferencia irregular constituye automáticamente el mismo delito.
La cuantía no es el único elemento relevante
Aunque 271.284 euros constituye una cantidad muy elevada, la investigación penal no debería limitarse a sumar transferencias.
Hay que reconstruir cómo se realizaron las operaciones.
Resultará relevante determinar:
- quién tenía autorización;
- qué límites existían;
- desde qué cuentas se realizaron las transferencias;
- quién era titular de las cuentas receptoras;
- qué conceptos se hicieron constar;
- qué documentación justificaba aparentemente los pagos;
- y quién tenía acceso a la banca electrónica.
La prueba bancaria y contable puede resultar decisiva.
El rastro bancario puede convertirse en una prueba fundamental
Una transferencia deja huella.
Las entidades financieras conservan información sobre las operaciones y los sistemas empresariales pueden aportar registros adicionales.
Cuando se sospecha que existe una apropiación interna, reconstruir el flujo del dinero puede permitir determinar su destino.
Extractos bancarios, justificantes de transferencias, contabilidad, facturas, correos electrónicos y registros informáticos pueden formar conjuntamente una prueba especialmente relevante.
¿Qué debería hacer una empresa cuando detecta transferencias sospechosas?
Lo primero debería ser impedir que continúe el perjuicio.
Puede ser necesario revisar inmediatamente las autorizaciones bancarias, preservar la documentación y garantizar que no desaparezcan registros informáticos o contables.
También debe evitarse actuar precipitadamente de una manera que pueda destruir pruebas.
Cuando la cantidad es importante y existen indicios de una conducta delictiva, resulta especialmente conveniente organizar correctamente la documentación antes de adoptar las acciones jurídicas correspondientes.
Despedir al trabajador y denunciar penalmente son decisiones diferentes
Una conducta de esta naturaleza puede tener consecuencias laborales y penales.
La empresa puede encontrarse ante un incumplimiento contractual de extraordinaria gravedad que afecte a la buena fe y confianza propias de la relación laboral.
Paralelamente, los hechos pueden ser investigados penalmente.
Pero ambas vías tienen sus propias reglas.
La decisión empresarial de despedir y la eventual condena penal no son exactamente el mismo procedimiento ni responden a idénticos requisitos.
La empresa también debe intentar recuperar el dinero
Cuando se descubre un fraude interno, la reacción no debería centrarse exclusivamente en conseguir una condena penal.
Existe también una cuestión patrimonial esencial:
¿puede recuperarse el dinero?
Cuanto más tiempo haya transcurrido, mayor puede ser la dificultad para localizar los fondos.
Por eso resulta importante investigar rápidamente su destino y valorar las medidas jurídicas disponibles para asegurar las posibles responsabilidades económicas.
Una sentencia condenatoria puede llegar años después. La recuperación patrimonial requiere muchas veces actuar mucho antes.
El fraude interno puede afectar también a pequeñas empresas
No debe pensarse que estos riesgos pertenecen exclusivamente a grandes corporaciones.
En realidad, una pequeña empresa puede resultar especialmente vulnerable.
Es habitual que una única persona lleve la contabilidad, gestione facturas, tenga acceso al banco y prepare los pagos.
La relación personal y la confianza acumulada durante años pueden hacer que nadie revise las operaciones.
Además, un perjuicio de decenas o cientos de miles de euros puede poner en peligro la propia supervivencia del negocio.
¿Qué controles mínimos debería plantearse una empresa?
No existe un sistema idéntico para todas las compañías, pero sí pueden establecerse algunas reglas básicas.
Por ejemplo:
- limitar las facultades bancarias al nivel realmente necesario;
- establecer doble autorización para importes relevantes;
- activar alertas para determinadas operaciones;
- controlar la creación de nuevos beneficiarios;
- separar, cuando sea posible, contabilidad y autorización de pagos;
- revisar periódicamente extractos y conciliaciones;
- mantener registros de quién ordena y aprueba cada transferencia;
- y retirar inmediatamente los permisos cuando un trabajador cambia de puesto o abandona la empresa.
No se trata de convertir cada pago en un procedimiento burocrático.
Se trata de evitar que una sola persona pueda mover cantidades importantes durante largos periodos sin que nadie independiente lo compruebe.
También deben revisarse los poderes antiguos
Otro riesgo frecuente consiste en conceder una autorización bancaria y olvidarse de ella.
Los empleados cambian de funciones.
Los departamentos se reorganizan.
Las necesidades de la empresa evolucionan.
Sin embargo, los permisos informáticos y bancarios pueden permanecer intactos durante años.
Resulta recomendable realizar revisiones periódicas de usuarios, poderes y límites.
Una autorización que fue necesaria hace cinco años puede ser completamente innecesaria en la actualidad.
La ciberseguridad no sirve si se olvida el factor humano
Una empresa puede invertir grandes cantidades en antivirus, cortafuegos y sistemas contra ataques externos.
Pero si una sola persona dispone legítimamente de las credenciales necesarias para realizar transferencias sin supervisión, permanece abierta una vulnerabilidad distinta.
La seguridad financiera debe contemplar conjuntamente tecnología, procedimientos y personas.
El fraude no siempre entra desde fuera.
A veces utiliza una contraseña perfectamente válida.
Reflexión jurídica
El caso de la administrativa condenada tras desviar 271.284 euros demuestra que una autorización legítima puede convertirse en el instrumento de una actuación ilícita cuando desaparecen los controles.
La empresa necesita confiar en sus trabajadores.
Sin confianza sería prácticamente imposible desarrollar cualquier actividad económica.
Pero jurídicamente y desde una perspectiva de prevención, confianza y control no son conceptos incompatibles.
La solución no consiste en sospechar permanentemente de quien gestiona los pagos.
Consiste en diseñar un sistema en el que ninguna persona pueda disponer de cantidades importantes sin dejar rastro y sin que exista una comprobación independiente.
Una segunda firma no acusa a nadie.
Un límite de transferencia no acusa a nadie.
Una alerta bancaria no acusa a nadie.
Son simplemente mecanismos que reducen el riesgo y permiten detectar rápidamente una irregularidad.
Conclusión
Una administrativa ha sido condenada a cuatro años de prisión después de desviar 271.284 euros aprovechando las facultades que tenía para operar con las cuentas de la empresa sin una supervisión suficiente.
El caso contiene una advertencia que cualquier empresa, especialmente las pequeñas y medianas, debería tener presente:
autorizar a un trabajador para hacer transferencias no significa que deba concedérsele un control ilimitado sobre las cuentas bancarias.
Los poderes deben corresponderse con las necesidades reales del puesto.
Los importes elevados pueden requerir una segunda autorización.
Los nuevos beneficiarios pueden someterse a controles específicos.
Las alertas permiten detectar operaciones anormales.
Y las cuentas deben ser revisadas por alguien diferente de quien ejecuta habitualmente los pagos.
Cuando una única persona puede ordenar, transferir, contabilizar y supervisar su propia operación, el problema no es únicamente la confianza depositada en ella. Existe también una debilidad objetiva en el sistema de control.
El caso de los 271.284 euros desviados demuestra hasta dónde puede llegar esa vulnerabilidad cuando nadie detecta a tiempo lo que está ocurriendo.
Luis Ferrer Abogado
Asesoramiento y defensa jurídica en delitos patrimoniales, apropiaciones y fraudes empresariales, responsabilidad penal, recuperación de activos y conflictos derivados de la administración desleal de fondos.