El fraude interno rara vez empieza con una gran operación: casi siempre son gastos pequeños repetidos, proveedores que no existen o facturas duplicadas que pasan desapercibidas porque nadie las cruza. Cuando el volumen crece, revisar cada apunte a mano deja de ser viable y los controles se relajan. Ahí aparece la tentación de delegar la vigilancia en un sistema automático que avise de lo raro.
La IA puede ayudar a detectar esos patrones, pero no sustituye el criterio ni el procedimiento. Vamos a ver qué señales conviene vigilar, cómo se montan las alertas para que no ahoguen al equipo, qué hacer con los falsos positivos y dónde está la frontera laboral y de protección de datos cuando toca investigar a una persona concreta. El objetivo es un control proporcionado, no un sistema de sospecha permanente.
Qué patrones conviene vigilar
Con carácter general, la IA detecta mejor lo repetitivo que lo extraordinario. Los patrones útiles son proveedores nuevos con datos bancarios que cambian poco después del alta, facturas con importes justo por debajo del umbral de aprobación, gastos de kilometraje que no cuadran con la agenda o duplicados con pequeñas variaciones en el número. Son reglas simples que un modelo puede cruzar en segundos sobre todo el histórico.
También funciona el análisis de comportamiento: comparar el gasto de una persona con su propio histórico y con el de su equipo, y marcar desviaciones sostenidas en el tiempo. Un pico aislado no dice nada; una pauta que se repite tres meses sí merece una mirada. Cuanto más concreto sea el patrón, más fácil será explicar después por qué saltó la alerta y qué se hizo con ella.
- Proveedores dados de alta con datos bancarios modificados en pocos días
- Facturas partidas en importes que evitan el circuito de aprobación
- Gastos de desplazamiento incompatibles con la agenda registrada
- Duplicados con variaciones mínimas en número o fecha
Define cada alerta con un responsable y un plazo de revisión; una alerta sin dueño acaba silenciada o genera ruido que todos ignoran.
Alertas útiles y falsos positivos
El problema habitual no es que el sistema no avise, sino que avise demasiado. Si cada semana llegan cuarenta alertas y solo dos acaban en algo, el equipo aprende a ignorarlas. Antes de activar una regla, estima cuántos avisos va a producir con tus datos reales y ajusta el umbral. Es mejor cubrir menos supuestos y que cada aviso se revise que taparlo todo con ruido.
Los falsos positivos se documentan, no se borran. Si una alerta salta por una bonificación habitual o por un proveedor que factura distinto cada mes, deja constancia y añade la excepción a la regla. Así el sistema aprende del negocio y el registro demuestra que revisaste el caso. Revisa las reglas cada trimestre: lo que hoy es raro puede ser normal dentro de medio año.
- Mide el volumen de alertas antes de activar cada regla
- Documenta cada falso positivo y ajusta la excepción
- Revisa los umbrales cada trimestre con datos reales del negocio
Investigar sin cruzar límites laborales
Cuando una alerta apunta a una persona concreta, entras en otro terreno. La vigilancia sobre el trabajador debe ser proporcionada, conocida y limitada a la finalidad declarada; con carácter general, no cabe monitorizar el correo o el equipo personal sin informar y sin base jurídica. La IA puede ordenar pruebas, pero la decisión sobre una persona debe tener intervención humana y quedar motivada.
Conviene fijar por escrito quién puede abrir una investigación, con qué autorización y durante cuánto tiempo se conservan los datos. Escucha a la persona antes de concluir: muchas anomalías se explican por un cambio de proveedor, una comisión mal imputada o un error de la propia herramienta. Si el caso puede acabar en despido o denuncia, revisa tu caso con asesoría laboral antes de mover ficha.
Documenta el motivo de la investigación antes de acceder a datos personales; el orden de los pasos es lo que sostiene el caso si alguien lo revisa.
Preguntas frecuentes
¿Puede la IA sustituir una auditoría interna?
No. La IA ordena y prioriza información, pero no valora intención ni sustituye las pruebas. Sirve para que una persona revise antes lo que más riesgo tiene, no para cerrar un expediente. Cualquier conclusión que afecte a un empleado o a un proveedor debe apoyarse en documentación verificada y en una decisión humana motivada, con criterios conocidos de antemano.
¿Qué hago con un falso positivo repetido?
Documéntalo y ajusta la regla. Si el patrón es habitual en tu negocio, añade la excepción con una nota de por qué es legítimo, para que el aviso no vuelva a saltar. Si el falso positivo viene de datos mal grabados, corrige el origen. Revisa el histórico de alertas cada trimestre y elimina las reglas que solo generan ruido.
¿Debo informar a la plantilla de que hay controles automáticos?
Con carácter general, sí: los controles deben ser conocidos y estar vinculados a una finalidad concreta. Informar de que existen reglas de revisión sobre gastos y facturas reduce la sensación de vigilancia encubierta y refuerza su valor disuasorio. Revisa tu caso con asesoría laboral y de protección de datos para ajustar el alcance y la redacción.