Robo interno en la empresa

Cuando el dueño de un negocio piensa en amenazas, suele imaginar un ataque de hackers. O un competidor agresivo, o una inspección repentina de los organismos de control. Pero los estudios de los últimos años muestran un hecho muy distinto. Las pérdidas más caras no las provocan los enemigos externos, sino los propios empleados. El robo interno en la empresa lo cometen personas de confianza. Son quienes tienen las llaves de la oficina y accesos a la contabilidad. También conocen las contraseñas del CRM y los números de los clientes habituales. Los «de casa».

Según la Association of Certified Fraud Examiners (ACFE), una empresa media pierde alrededor del 5 % de sus ingresos anuales por fraude interno. El dato procede de su informe Report to the Nations on Occupational Fraud and Abuse. El daño medio de un solo caso de occupational fraud ronda los 117 000 dólares. Y una de cada cuatro investigaciones revela pérdidas superiores al millón de dólares. De media, un esquema fraudulento pasa desapercibido durante 12 meses. Es todo un año durante el cual el empleado «de confianza» va sacando activos metódicamente. También transfiere dinero a contratistas ficticios o filtra la base de clientes a la competencia.

Una estadística aún más elocuente tiene que ver con el 89 % de los casos de fraude interno. En ellos, los culpables resultaron ser personas sin ningún antecedente penal ni sanción disciplinaria previa. Es decir, el típico «ladrón corporativo» no es alguien de quien sospecharías de inmediato. Es tu gerente de ventas, que lleva tres años trabajando. Es la contable que recuerda los cumpleaños de todos los hijos del departamento. Es el jefe de almacén al que contrataste por recomendación de un familiar. Es quien llega primero a las fiestas de empresa. Y a quien confías la firma de los documentos de pago cuando corres para tomar un avión.

La realidad local añade sus propios matices. Varios factores pesan aquí: una antigüedad media baja, una alta rotación de personal y el paso masivo a un régimen de teletrabajo parcial. A ello se añaden los presupuestos limitados para el departamento de seguridad. Todo esto crea las condiciones ideales para los abusos. A esto se suma la inestabilidad económica, que empuja incluso a personas antes honestas a racionalizar los robos. Surgen frases como «la empresa igual me paga de menos», «con todo lo que he hecho por ellos» o «es temporal, lo devolveré».

En este artículo analizaremos el perfil psicológico del insider típico. Elaboraremos una lista de diez señales conductuales concretas que delatan a un empleado desleal. Examinaremos las categorías reales de pérdidas. También veremos por qué los métodos tradicionales de detección (videovigilancia, auditoría, denuncias de compañeros) funcionan mal. Y qué se puede hacer en su lugar. El objetivo es detectar la amenaza antes de que llegue a la columna de «pérdidas» como una cifra de siete dígitos.

Retrato psicológico del insider: por qué los «de casa» se vuelven peligrosos

En 1953, el criminólogo estadounidense Donald Cressey entrevistó a una serie de reclusos. Todos habían cometido malversaciones en su lugar de trabajo. El resultado fue un concepto que hoy se enseña en cualquier curso de seguridad corporativa: el triángulo del fraude (Fraud Triangle). Cressey demostró que una persona honrada y leal solo se convierte en defraudador cuando coinciden tres factores a la vez. Son la presión, la oportunidad y la racionalización. Si falta al menos uno de los vértices del triángulo, no habrá robo. Si están presentes los tres, es cuestión de tiempo.

La presión financiera es el detonante más frecuente. Según la misma ACFE, más del 40 % de los defraudadores corporativos atravesaban serias dificultades económicas al cometer el delito. Las causas son variadas: una hipoteca, un hijo en una universidad privada, el tratamiento médico de familiares o deudas con los bancos. Y, cada vez con más frecuencia, ludopatías y especulaciones con criptomonedas que salieron mal. El mercado de los microcréditos y los casinos en línea ha hecho su aportación. Una persona que hace un año cobraba su sueldo y vivía con normalidad hoy puede acumular una decena de microcréditos. Y busca desesperadamente la forma de «tapar el agujero».

Un punto clave: la presión casi nunca se nota en el trabajo. Los defraudadores disimulan bien sus problemas financieros. Es más, a menudo demuestran lo contrario: un aspecto marcadamente exitoso, aparatos nuevos y vacaciones «en Turquía». Precisamente esas vacaciones se compran justo después del primer robo. Es un mecanismo psicológico de compensación. La persona intenta demostrarse a sí misma y a los demás que «todo le va bien».

La oportunidad la crea la propia empresa. Los puestos de mayor riesgo no son los de los directivos de más alto nivel. A ellos se les sospecha menos, pero también se les controla con más rigor mediante auditorías externas. Los de mayor riesgo son los puestos «de mando intermedio con acceso total». Por ejemplo: el jefe de contabilidad en una pequeña empresa, el único logista, el jefe de almacén, el administrador de TI «todo en uno» o el gestor de compras por licitación. Cuanto más tiempo lleva alguien en un puesto así sin rotación ni auditoría, más conoce los agujeros del sistema. Y más fácil le resulta aprovecharse de ellos.

La racionalización es la parte más interesante. Muy poca gente se dice a sí misma delante del espejo por la mañana: «soy un ladrón». En cambio, el cerebro construye un complejo sistema de justificaciones. «Soy el único que trabaja de verdad, los demás rascan, es justo que me lleve un poco más». «El jefe le compró a su mujer un coche de 80 mil dólares y a mí me recortó la prima: solo tomo lo mío». «No es robo, pienso devolverlo en cuanto liquide el préstamo». Cuanto más dura el esquema, más sólida se vuelve la racionalización. Y más difícil le resulta a la persona detenerse por sí misma.

El perfil psicológico del insider típico es este. Suele ser un hombre o una mujer de 30 a 50 años, que lleva de 3 a 7 años en la empresa. Tiene buena reputación, no falta al trabajo y es considerado «de fiar» y «de casa». A menudo es una persona con una autoestima elevada, convencida de que la infravaloran. Con frecuencia, con atributos externos de éxito que no se corresponden con su ingreso oficial. Y casi siempre, alguien que controla un proceso único dentro de la empresa y es su único «depositario del conocimiento».

10 señales de alerta de un empleado desleal

Ninguna de estas señales por sí sola demuestra que una persona sea defraudadora. Pero a veces observas tres o cuatro de esta lista en un mismo empleado a la vez. Entonces hay motivo para un análisis más atento. No una acusación, ni un despido, ni una sospecha pública. Precisamente un análisis: mirar con más detenimiento, revisar los procesos en los que participa, mantener una conversación estructurada.

1. Trabaja los fines de semana sin motivo

Parecería que, ¿qué tiene de malo? Un buen trabajador, ¿qué más se puede pedir? El problema es otro. Un empleado honesto se queda por la tarde o viene un sábado por un plazo de entrega concreto. Y todos lo saben. El insider, en cambio, va al trabajo cuando no hay nadie en la oficina. Así consigue acceso sin control a documentos, servidores, almacén o sello. Si una persona aparece sistemáticamente en fin de semana «a trabajar». Pero el resultado de ese trabajo no está claro, es una señal.

2. Rechazo de las vacaciones

Una de las señales de alerta más antiguas y fiables en el sector bancario y asegurador. La persona honesta quiere descansar. El defraudador teme dejar su «parcela» sin vigilancia. Durante dos semanas de ausencia, otro podría hurgar más a fondo en los documentos y descubrir el esquema. Muchas grandes empresas en Occidente exigen al personal clave dos semanas de vacaciones seguidas obligatorias. Es, precisamente, un mecanismo para detectar abusos.

3. Un aumento inexplicable del nivel de vida

Un gerente con un sueldo de 25 mil grivnas se compra un coche nuevo de medio millón. Una contable de repente empieza a volar a Bali dos veces al año. Un logista reforma un piso claramente más caro que todo su salario anual. Siempre aparecen explicaciones: «una herencia», «mi mujer montó un negocio», «vendí la casa de campo de mis padres». A veces es verdad. A menudo, no. La brecha entre el ingreso oficial y el nivel real de gasto es una de las señales más precisas.

4. Conflicto con la dirección, pero «aguanta»

Una paradoja que a menudo delata al insider. La persona se queja con regularidad de la empresa, de los jefes, de la política, del sueldo. Dice que «hace tiempo que se habría ido, si no fuera por…». Y, sin embargo, tiene ofertas de la competencia y no se va. ¿Por qué? Porque aquí tiene una fuente de ingresos paralela al sueldo. Marcharse significa perder el acceso a esa fuente. En el caso normal, un empleado descontento o cambia de actitud o se va. Quien lleva años quejándose y no se mueve de sitio resulta sospechoso.

5. Elusión de procedimientos e informes

«¿Para qué necesitamos esta burocracia? Yo lo hago igual». «Deja que firme yo, luego lo tramitamos». «No tengo tiempo de rellenar estos formularios». Cada procedimiento eludido crea una «zona gris» que después es muy difícil de comprobar. El empleado honesto suele insistir, al contrario, en una documentación clara, porque eso lo protege. El insider, por el contrario, busca reducir la cantidad de rastros.

6. Relaciones sospechosas con proveedores o clientes

Un gestor de compras que almuerza con el representante de un proveedor dos veces por semana. Un contable que mantiene relaciones «familiares» con el director del banco por el que pasan los pagos. Un logista que conoce personalmente a todos los conductores y los llama los fines de semana. En sí mismos, esos contactos son normales. Pero a veces se vuelven excesivamente estrechos y traspasan los límites de las cuestiones laborales. Entonces conviene comprobar si no hay «retornos» en forma de comisiones ilícitas.

7. Reacción agresiva ante una auditoría

Una auditoría interna o externa es un procedimiento rutinario. La persona honesta puede molestarse porque le quita tiempo. Pero en general se lo toma con calma. El insider reacciona de forma desproporcionada. Aparecen ansiedad, agresividad e intentos de limitar el acceso a los auditores. También «pérdida» de documentos justo cuando se necesitan y bajas médicas repentinas los días de la auditoría. Casi siempre es señal de que en los documentos hay algo que la persona no quiere mostrar de ninguna manera.

8. Ampliación gradual de los accesos

La persona empezó con una parcela reducida. Pero con el tiempo «ayudó a los compañeros», «hizo sustituciones», «echó una mano», y ahora controla tres o cuatro procesos relacionados. Es un esquema clásico. Cuanto más acceso se concentra en unas mismas manos, más fácil resulta montar el esquema de «la mano izquierda». En él, una parte del sistema compensa a la otra y nadie puede ver la imagen completa. Si en la empresa hay una persona sin la cual «nada funciona», eso no es un genio, es un riesgo.

9. Discrepancia con los ingresos declarados

Emparentada con la señal n.º 3, pero más profunda. En las redes sociales aparecen fotos en restaurantes caros y entrenamientos con entrenador personal. Un hijo en un colegio privado, la mujer sin trabajo. Oficialmente, un sueldo medio. La pregunta es: ¿de dónde sale el dinero? A veces la respuesta es aburrida (un segundo negocio, apoyo familiar). A veces, no. Comprobarlo no es difícil: basta con mirar la actividad pública en las redes sociales y contrastarla con el ingreso que conoces.

10. Aislamiento social en el equipo

No confundir con los introvertidos, a quienes simplemente no les gustan las fiestas de empresa. Se trata de otra cosa: la persona mantiene a sus compañeros a distancia de forma deliberada precisamente en las cuestiones laborales. No comparte información, no transmite conocimientos, no deja entrar en sus procesos, reacciona con nerviosismo a las preguntas «ajenas» sobre su parcela. Es la conducta de alguien que oculta algo, no de quien simplemente es tímido.

Qué riesgos trae el robo interno en la empresa: 5 categorías de pérdidas

Cuando el dueño oye la palabra «insider», piensa primero en los robos de efectivo o de mercancía. En realidad, el fraude interno actual es mucho más variado. A menudo causa daños difíciles de ver de inmediato en la caja.

1. Robo directo de activos. El clásico del género. Efectivo de la caja, mercancía del almacén, combustible de los vehículos, herramientas de producción, material de oficina y equipos. En contabilidad hay más variantes. Una es el pago de salarios a «almas muertas». Otra, el pago doble de una misma factura, la segunda vez a la propia tarjeta. Y también la creación de contratistas ficticios. De media, estos esquemas «se comen» entre el 1 y el 5 % de la facturación. Y suelen durar meses hasta que alguien se da cuenta.

2. Fugas de información y de bases de clientes. El gerente de ventas que, antes de marcharse, copia todo el CRM. El responsable de marketing que filtra a la competencia la futura estrategia publicitaria. El desarrollador que se lleva el código a la siguiente empresa. En TI y consultoría, este tipo de daño supera a menudo a todos los demás juntos. La realidad de 2024-2026 ha añadido una capa más: las fugas de datos personales de clientes. Estas pueden acarrear serias multas por el RGPD y un fiasco reputacional.

3. Espionaje corporativo y «venta de la lealtad». La categoría más difícil de detectar. La persona trabaja en tu empresa. Pero en realidad lo hace en interés de un competidor. Transmite información sobre licitaciones, política de precios, planes de desarrollo, clientes clave. A veces se hace por dinero, a veces como preparación de un traspaso «suave» dentro de uno o dos años. El daño de una sola persona en un puesto clave puede alcanzar decenas de puntos porcentuales de cuota de mercado.

4. Pérdidas reputacionales. El fraude se hace público. Los clientes afectados por una fuga de datos empiezan a quejarse en público. El exempleado, a su vez, acusa a la empresa: «fueron ellos los que me tendieron la trampa». Los socios se enteran de que tu CRM está en manos de un competidor. Cualquiera de estos escenarios puede costarle a la empresa mucho más que el propio robo directo. Para las marcas construidas sobre la confianza (finanzas, medicina, educación), el golpe reputacional a menudo resulta mortal.

5. Riesgos jurídicos. El insider puede usar la empresa para sus propios esquemas delictivos, no solo robándote, sino convirtiéndote en cómplice. Por ejemplo, un contable que «optimiza» los impuestos de forma «creativa» pone en peligro al director. Un administrador de TI que instala software sin licencia genera el riesgo de una inspección. Un gerente que recibe comisiones ilícitas actúa formalmente en nombre de la empresa. Y cuando el esquema se descubre, no responde solo él personalmente. Las consecuencias jurídicas de estas situaciones se resuelven a menudo durante años.

Los métodos clásicos de detección y por qué no funcionan

La mayoría de las empresas que piensan en protegerse frente a las amenazas internas utilizan tres herramientas clásicas. Las tres tienen serias limitaciones.

Videovigilancia. Cámaras en la oficina, en el almacén, en la zona de caja. Parece la panacea: cada paso bajo control. Pero, en realidad, la videovigilancia da una falsa sensación de seguridad. En primer lugar, nadie mira las grabaciones en tiempo real. Se revisan solo después de que el incidente ya ha ocurrido. En segundo lugar, el fraude interno actual es mayoritariamente digital. El dinero se transfiere en el sistema de banca electrónica. Los datos se copian a un USB o a la nube. Y la información se envía por mensajería desde un teléfono personal. La cámara no ve nada de eso. En tercer lugar, el insider sabe dónde están las cámaras. Simplemente actúa fuera de su campo de visión o en los momentos en que no graban.

Auditoría interna y externa. Una herramienta eficaz. Pero con tres grandes «peros». La auditoría detecta los esquemas cuando ya llevan tiempo funcionando: de media, entre 12 y 18 meses después. Es decir, cuando el daño ya está hecho. El segundo: la auditoría trabaja con documentos y cifras. Por eso detecta bien los esquemas burdos (contratistas ficticios, pagos dobles) y mal los sutiles (comisiones ilícitas, fugas de información, espionaje corporativo). El tercero: la auditoría cuesta dinero. La pequeña y mediana empresa la realiza una vez al año o de forma puntual. Y para entonces el insider ya ha tenido tiempo de causar suficiente daño.

Denuncias de compañeros y «líneas directas» anónimas. Un clásico de las grandes corporaciones. Funciona, pero con limitaciones importantes. Los compañeros a menudo ven que algo no va bien, pero callan por diversos motivos. Influyen el miedo a las represalias, no querer «chivarse», la lealtad a una persona concreta o no estar dispuestos a asumir responsabilidades. Los estudios muestran algo revelador, incluso en empresas con un sistema de whistleblowing bien engrasado. Más de la mitad de los esquemas internos no se descubren por los compañeros, sino por casualidad. Por ejemplo, por un error del propio defraudador, por un socio externo o por el banco que se fijó en un pago extraño.

El defecto común de los tres métodos es que son reactivos. Detectan a los defraudadores que ya han robado. Para ese momento, el daño ya está hecho. En una gran empresa con «colchón» financiero, eso se soporta. En una pequeña o mediana, un solo caso así puede poner el punto final a la historia de toda la compañía.

Cómo la tecnología permite encontrar al insider antes de que sea tarde

La lógica del enfoque preventivo es simple. Es mejor no atrapar al defraudador un año después de que haya robado un millón. Conviene detectar la deslealtad en la fase de contratación o durante una revisión planificada, cuando aún no hay pérdidas. Precisamente para eso existe una clase de soluciones que se conocen como verificación conductual.

La verificación conductual no es un «interrogatorio» ni la búsqueda de la «verdad» sobre hechos concretos. Es una comprobación estructurada de la actitud de la persona hacia los riesgos clave de la empresa. Analiza si es leal al empleador, si ya tiene un conflicto de intereses oculto, si ha protagonizado robos anteriores o si contempla pasar información a la competencia. Las metodologías actuales permiten detectar un alto nivel de riesgo con suficiente precisión. No exigen la presencia física de la persona en la oficina del departamento de seguridad. Y no crean la experiencia traumática de un «interrogatorio». Verificar a una persona una vez al año con el polígrafo clásico resulta caro y complicado.

El servicio StimulTest para empresas es una plataforma de verificación conductual construida precisamente sobre este principio. La comprobación se realiza en línea y le lleva a la persona unos 30-40 minutos. Permite al empleador obtener un informe estructurado por los perfiles de riesgo clave. Estos incluyen la lealtad, los riesgos financieros, la tendencia a los abusos y la presencia de conflictos ocultos. Se puede leer por separado en detalle sobre el principio de funcionamiento de la tecnología.

La ventaja clave del enfoque es que es escalable. Verificar a una persona una vez al año con un polígrafo es caro y complejo. Verificar a todo un equipo de 30 personas en segundo plano en una semana es realista. Y es precisamente esa comprobación regular, económica y tranquila la que da a la empresa algo valioso. Ni las cámaras ni la auditoría lo ofrecen: la detección proactiva de riesgos antes de que se conviertan en pérdidas.

Minicaso: empresa de logística, 12 empleados, 2 detectados

Una empresa de logística de tamaño medio acudió a StimulTest tras sospechar que el combustible «se iba por la izquierda». Contaba con una flota de 18 vehículos y una facturación de unos 60 millones de grivnas al año. El punto de partida de las sospechas fue una discrepancia entre el kilometraje normativo y el real de los vehículos. Alcanzaba el 8 % durante tres meses seguidos y, en dinero, eso suponía unos 90 mil grivnas al mes.

El dueño podía haber seguido el camino clásico: llamar a cada conductor y logista a una «conversación». También instalar más sensores GPS o contratar a un auditor externo. En su lugar, se decidió realizar una verificación conductual de las 12 personas implicadas en el proceso operativo. Entre ellas: conductores, despachadores, el jefe de garaje y el logista. La comprobación llevó una semana.

Resultado: en 10 de los 12 empleados el perfil de riesgo estaba dentro de lo normal. Sin conflictos de intereses ocultos, sin indicios de deslealtad y cero hechos de robo. En dos, un riesgo elevado en la categoría «abusos financieros» con indicios de un esquema sistémico antiguo. El dueño no despidió a estas personas de inmediato. En su lugar mantuvo una conversación estructurada y reforzó el control en tramos concretos. Y, poco a poco, a lo largo de un mes, el esquema dejó de funcionar. Uno de los empleados renunció por voluntad propia. Las pérdidas en el momento de la detección rondaban los 270 mil grivnas por trimestre. Y a partir de ahí ya no crecieron.

Este ejemplo muestra lo esencial: la verificación conductual no está pensada para «despedir al culpable». Está pensada para saber con exactitud dónde están los riesgos en tu equipo y gestionarlos de forma consciente, no a ciegas.

Enfoque preventivo: construir una cultura de seguridad en la empresa

Las tecnologías por sí solas no resuelven el problema. La cámara, la auditoría, la verificación conductual son herramientas. Solo funcionan en el entorno adecuado. Ese entorno se llama cultura de seguridad. No lo construye el departamento de seguridad, sino el dueño y los directivos.

Hay varios principios básicos que convierten una empresa en un «objetivo incómodo» para el insider. El primero es la separación de funciones: ninguna persona debe controlar sola el ciclo completo, del pedido al pago. El segundo, las vacaciones obligatorias, con un mínimo de 14 días seguidos para todo aquel que tenga accesos financieros. También cuenta la rotación regular en los puestos clave. Y la documentación transparente de los procesos, para que no existan «imprescindibles». A ello se suman unas reglas claras de acceso, con el principio de privilegios mínimos necesarios. Y unas revisiones planificadas y previsibles, que todos conocen.

Un aspecto psicológico muy importante: la cultura de seguridad no debe convertirse en una cultura de sospecha total. Si los empleados sienten que constantemente los «pillan», el resultado será una pérdida masiva de lealtad. Y, paradójicamente, un aumento de las amenazas internas. La cultura correcta tiene otro aspecto: «tenemos reglas transparentes, revisiones previsibles, una remuneración honesta, confiamos en las personas. Pero, a la vez, no creamos tentaciones artificiales, y cuando algo no va bien, lo vemos rápido».

Para la pequeña empresa, un buen punto de partida es implantar tres cosas a la vez. La primera: la separación de las competencias financieras, por ejemplo que los pagos por encima de cierta cantidad requieran una segunda firma. La segunda: la verificación conductual obligatoria de todos los candidatos a puestos clave antes de la contratación. Y la tercera: una reverificación planificada del personal en activo cada 12-18 meses. Este conjunto mínimo cubre el 70-80 % de los escenarios internos típicos. Y cuesta mucho menos que un solo caso medio de fraude.

FAQ

¿Es legal verificar la lealtad de un empleado?

Sí, siempre que la verificación se realice de forma voluntaria, con el consentimiento por escrito de la persona, dentro de los límites permitidos por la legislación laboral, y los datos se traten conforme a la ley de protección de datos personales. StimulTest trabaja precisamente dentro de ese marco legal.

¿Se puede engañar a un test conductual?

Las metodologías actuales tienen en cuenta los intentos de dar respuestas socialmente deseables mediante un sistema de preguntas cruzadas y escalas de control. «Engañar» por completo un test estructurado es difícil, sobre todo cuando no se trata de una pregunta aislada, sino de un perfil conductual general.

¿Qué hacer si el test muestra un riesgo en un empleado concreto?

No despedir de inmediato. El resultado del test no es una prueba de lo cometido, sino un motivo para revisar con atención los procesos en los que la persona participa, reforzar el control y mantener una conversación estructurada. A menudo el problema se resuelve sin romper la relación laboral.

¿Con qué frecuencia hay que verificar al equipo?

La recomendación básica es verificar a cada nuevo empleado en puestos clave antes de la contratación, más una reverificación planificada del personal en activo cada 12-18 meses. Para los puestos de alto riesgo (finanzas, compras, administración de TI), con más frecuencia.

¿Cuánto cuesta una verificación y es asequible para la pequeña empresa?

El coste de la verificación conductual a través de servicios en línea es muy inferior al del polígrafo clásico y resulta asequible incluso para un negocio con un equipo de 5 a 10 personas. Las condiciones y tarifas exactas se pueden consultar en la sección de contactos.

Más materiales sobre seguridad corporativa en la sección Seguridad y en nuestra página principal de polígrafo online.