Procedimientos internos de verificación de solicitudes

Una buena política de verificación tiene cuatro piezas. Una lista cerrada de solicitudes sensibles, definida por lo que se pide y no por el canal por el que llega. Una regla de canal independiente: se confirma por un medio que la empresa ya tenía. Una separación de funciones: en los importes altos, quien recibe la petición no es quien la aprueba, porque es justo a esa persona a quien presiona el engaño. Y un registro que permita comprobar después qué se hizo.

Hay controles que ayudan pero no bastan. Una palabra de verificación acordada entre directivos y tesorería añade un obstáculo, pero se puede filtrar, olvidar o sonsacar en la misma conversación. La formación para reconocer señales de urgencia o de secreto sube la alerta, pero el engaño mejor hecho no muestra ninguna. Lo que no falla con la calidad de la imitación es el canal independiente.

La política se aprobó para toda la empresa, pero cada área la baja a su procedimiento. Una auditoría de cobertura compara la lista de solicitudes sensibles con lo que hace cada procedimiento: si una solicitud de la lista no tiene llamada de vuelta en ninguno, la política no se cumple ahí, aunque esté escrita.

La separación de funciones se comprueba en el registro, fila por fila: para cada pago fuera de la corrida por encima del umbral, quién recibió la solicitud y quiénes la aprobaron. Una fila con dos aprobadores puede incumplirla igual, si uno de ellos es quien recibió.

La regla de canal se audita con la columna que dice a qué número se llamó. Para la dirección, la cifra que importa es cuántas solicitudes sensibles se ejecutaron sin cumplirla: es la medida de cuánto de la política es papel.