Controles internos básicos para una empresa que crece

Llega un correo de un proveedor avisando que cambió de cuenta bancaria. La misma persona que registra las compras actualiza el dato, prepara el pago y lo aprueba porque el gerente está de viaje. Un mes después el proveedor reclama que nunca recibió el dinero. Nadie actuó de mala fe dentro de la empresa, pero no había ningún punto en el que otra persona tuviera que mirar.

Cuando la empresa era chica, el dueño veía todo. Al crecer, eso deja de ser posible y hacen falta controles internos: reglas simples que hacen que un error o un abuso requiera la participación de más de una persona y deje rastro. Esta guía cubre los controles mínimos y cómo aplicarlos, aunque trabajes con planillas.

Segregación de funciones

El principio es que ninguna persona controle sola un proceso de principio a fin. En casi cualquier flujo de dinero hay cuatro funciones que conviene separar:

Función	Compras y pagos	Ventas y cobros
Registrar	Crear la orden de compra	Emitir la factura
Aprobar	Autorizar la compra o el pago	Autorizar descuentos o crédito
Custodiar	Ejecutar la transferencia	Recibir el efectivo o el depósito
Conciliar	Revisar el extracto contra los pagos	Revisar cobros contra facturas

Si una misma persona registra y custodia, o aprueba y concilia su propio trabajo, puede cometer un error y también ocultarlo.

¿Y si el equipo es chico? No siempre hay cuatro personas. En ese caso usa controles compensatorios: que el dueño revise cada semana el extracto bancario completo, que los cambios de datos bancarios de proveedores se confirmen por teléfono con un contacto ya conocido, o que el contador externo revise una muestra de pagos cada mes.

Niveles de aprobación por monto

No todas las compras merecen la misma revisión. Una tabla de niveles evita que el gerente firme todo y que nadie firme lo importante. Un ejemplo con cifras hipotéticas:

Monto de la compra	Quién aprueba
Hasta Bs 5.000	Jefe del área
De Bs 5.001 a Bs 30.000	Jefe del área y gerente administrativo
Más de Bs 30.000	Gerente general

Los montos los define tu empresa según su tamaño y su riesgo. Lo importante es que estén escritos y que todos los conozcan.

El problema del fraccionamiento. Supongamos que el límite del jefe de área es Bs 5.000 y en una misma semana aparecen tres compras al mismo proveedor por Bs 4.800, Bs 4.900 y Bs 4.700. Juntas suman Bs 14.400, que debería haber pasado por el gerente administrativo. Para detectarlo:

1. Agrupa las compras por proveedor y por semana.
2. Suma los montos de cada grupo.
3. Marca los grupos cuya suma supera un nivel de aprobación aunque cada compra individual no lo haga.
4. Revisa los marcados con quien aprobó cada compra.

Un indicador útil es el porcentaje de compras que quedan entre el 90 % y el 100 % del límite de su nivel. Si es alto y sube, alguien podría estar ajustando montos para no escalar.

Matriz de permisos

La segregación se vuelve real cuando se traduce en permisos concretos. Una matriz cruza roles con acciones:

Acción	Compras	Tesorería	Contabilidad	Gerencia
Crear orden de compra	Sí	No	No	No
Aprobar orden de compra	No	No	No	Sí
Modificar datos bancarios de proveedores	No	No	Sí	No
Ejecutar pagos	No	Sí	No	No
Conciliar bancos	No	No	Sí	No

Arma la matriz por rol, no por persona. Cuando alguien cambia de puesto, cambias su rol y no tienes que recordar permisos sueltos. Y revisa que ninguna fila combine funciones incompatibles de la tabla anterior.

Bitácora de cambios

Hay datos cuyo cambio debería dejar siempre registro de quién, cuándo, valor anterior y valor nuevo:

• Datos bancarios de proveedores y empleados.
• Precios de venta y listas de precios.
• Límites de crédito de clientes.
• Montos de documentos ya aprobados.
• Usuarios, roles y permisos.

Si trabajas en planillas, al menos guarda versiones con fecha y protege con contraseña las hojas maestras. Lo importante es que la bitácora no pueda ser editada por la misma persona que hace los cambios.

Respaldo documental

Cada pago debería poder rastrearse hasta su origen. En compras, el control clásico es el cruce de tres documentos: orden de compra aprobada, nota de recepción y factura del proveedor. Si la cantidad o el precio no coinciden entre los tres, el pago se retiene hasta aclararlo.

Indicador: porcentaje de pagos con respaldo completo = pagos del mes con los tres documentos ÷ total de pagos del mes × 100. Supongamos que en un mes hiciste 200 pagos y 170 tenían orden, recepción y factura: 170 ÷ 200 × 100 = 85 %. El 15 % restante es tu lista de revisión.

Los plazos de conservación de facturas y documentos contables los fija la normativa vigente; valídalos con tu contador antes de definir tu política de archivo.

Revisión periódica de accesos

Los permisos se acumulan: alguien cubre una vacación, recibe un acceso extra y nunca se lo quitan. Una revisión periódica, por ejemplo trimestral, lo corrige:

1. Saca la lista de usuarios activos con su rol.
2. Cruza la lista con el personal vigente y da de baja a quienes ya no trabajan en la empresa.
3. Envía a cada jefe la lista de su equipo para que confirme que cada rol corresponde.
4. Quita los permisos temporales vencidos.
5. Deja constancia de la revisión, con fecha y quién la aprobó.

Indicador: cuentas de exempleados activas al momento de la revisión. La meta es cero.

Errores comunes

• Usuarios compartidos. Si cinco personas usan “caja1”, la bitácora no sirve para nada.
• Excepciones permanentes. “Por esta vez apruebo yo” se vuelve la regla.
• Ocultar en vez de restringir. Esconder una opción del menú no impide que alguien llegue a ella por otro camino; lo que protege es el permiso.
• Controles que nadie revisa. Una bitácora que nadie mira solo sirve después del problema.
• Copiar la matriz de otra empresa. Los riesgos dependen de tus procesos y de tu tamaño.

Checklist

• Las cuatro funciones (registrar, aprobar, custodiar, conciliar) están separadas o tienen un control compensatorio.
• Hay una tabla escrita de niveles de aprobación por monto.
• Se revisa el fraccionamiento de compras al menos una vez al mes.
• Existe una matriz de permisos por rol, sin combinaciones incompatibles.
• Los cambios en datos bancarios, precios y permisos quedan registrados.
• Cada pago tiene orden, recepción y factura.
• Los accesos se revisan con una frecuencia definida y la revisión queda documentada.
• Cada usuario es personal e intransferible.

Llevarlo a un sistema

Estos controles funcionan en planillas si hay disciplina. Cuando el volumen crece, un ERP como MKA puede aplicar permisos finos por rol, validados en el servidor, y dejar cada cambio de datos en una bitácora encadenada por hash cuya integridad se puede verificar (ver auditoría y seguridad).