Fraude de proveedor
Cambio de CLABE por correo apócrifo. Control: confirmación por voz en número conocido.
Seguridad en Net Cash: riesgos reales y controles
El canal es seguro; la configuración que se hace alrededor casi nunca lo es. Cuatro riesgos concentran las pérdidas y cada uno tiene un control concreto y barato.
Los cuatro riesgos que más cuestan en tesorería son: fraude de proveedor con cambio de cuenta, poderes excesivos que sobreviven a la salida del empleado, dispositivos de seguridad huérfanos y límites sin ajustar. Los cuatro se resuelven con proceso interno, no con el banco.
La conclusión incómoda: la mayoría de las pérdidas ocurre con operaciones que el sistema autorizó correctamente. El canal cumple; el control humano falla. Este bloque va de cerrar ese hueco.
Riesgos y control
Cada riesgo con su mitigación
Poderes excesivos
Usuarios con más facultades de las necesarias. Control: perfil por función y revisión mensual.
Dispositivos huérfanos
Tokens activos de exempleados. Control: revocación el mismo día de la baja.
Límites sin ajustar
Topes por defecto o demasiado altos. Control: límite por perfil y por horario.
Separación de funciones
El control más eficaz del canal es también el más simple: que quien captura no autorice. Sin esa separación, el resto de las medidas se debilita, porque un solo usuario puede preparar y cerrar el pago.
En empresas pequeñas la separación total a veces no es posible. En ese caso conviene al menos que la firma requiera un segundo dispositivo, aunque sea del mismo dueño en otro teléfono, y que la conciliación la haga una persona distinta de quien paga.
| Actividad | Quién |
|---|---|
| Alta de beneficiarios | Tesorería |
| Captura de operaciones | Auxiliar de pagos |
| Autorización | Gerente o director |
| Conciliación | Contabilidad |
| Administración del canal | TI o contraloría |
Revisión mensual mínima
- Usuarios activos contra plantilla vigente
- Dispositivos asignados y cuáles no se usaron en 30 días
- Beneficiarios nuevos del mes y su soporte documental
- Límites por perfil contra la operación real
- Operaciones fuera de horario y quién las autorizó
Quince minutos al mes alcanzan para esta revisión y evitan la mayoría de los hallazgos de auditoría. El costo de no hacerla se paga en una sola operación.