IX PROGRAMA DE AUDITORIA INTERNA Y GESTION DE LA

CALIDAD

Gestión de Calidad

Caso de Fraude

Alumna: Harumi MirandaAlumna: Harumi Miranda

Alumnos: Harumi Miranda Necochea Sandra Salazar Nuñez Víctor Requena Palacios José Vigo Araujo

El presente caso corresponde a un hecho real ocurrido en el año 2007 en una entidad financiera especializada en micro finanzas, que para el caso la denominaremos “EDYFICANDO”.  Los nombres de los intervinientes han sido modificados, tanto para los empleados como clientes de dicha institución, ya que la situación expuesta es empleada con fines académicos y está referido a la sustracción del dinero desde las cuentas de ahorros de un cliente, quién al presentar su reclamo, manifestó haber sido víctima de transferencias fraudulentas, a través de la Banca por Internet, por un monto de Nueve Mil y 00/100 Nuevos Soles (S/. 9,000.00).  Asimismo, el trabajo está orientado en el desarrollo y análisis de los hechos acontecidos, las señales de alerta que se debieron tomar en cuenta en supervisiones anteriores, los procedimientos de auditoria que permitieron identificar las causas del fraude, las conclusiones y recomendaciones de medidas preventivas, a fin de evitar que se vuelvan a presentar situaciones similares.

Presentación

EDYFICANDO, es una empresa del sistema financiero, dedicada al otorgamiento de préstamos y captación de ahorros, creada desde el año 1999. Tiene un posicionamiento destacado dentro del sistema financiero peruano dentro de las empresas denominadas EDPYME (Empresas de desarrollo para la pequeña y mediana empresa), cuenta con una red de agencias a nivel nacional promedio (50 agencias en el 2007) y con 1010 empleados especializados en micro finanzas.  Es importante mencionar que desde el año 2005 ha implementado el servicio de captación de ahorros para sus clientes, puesto que anteriormente solo se dedicaba al otorgamiento de créditos al sector micro empresario.

Antecedentes

La organización

La estructura organizativa de la institución se muestra en el Anexo A, mientras que la estructura organizativa de una agencia se muestra en el Anexo B. El personal que labora en agencias depende de las Gerencias de Negocios (otorgamiento de créditos) y Operaciones (operatividad, personal de caja)

La organización

Anexo A: Estructura Organizacional de la Institución Financiera

Directorio

Gerencia General

Área Recursos Humanos

Área de Administración y

Finanzas

Área deNegocios

Área deOperaciones

Área de Marketing

Área de Riesgos y Normalización

Auditoria Interna Oficial de Cumplimiento

Área Legal

La organización

Anexo B: Estructura Organizativa en una Agencia

Administrador de Agencia

Funcionario de Operaciones

Cajero Terminalista Cajero Terminalista

Oficial de Operaciones

Asesor de Negocios Asesor de Negocios Asesor de Negocios

Asistente Atención al Cliente

Asistente Atención al Cliente

Asistente Atención al Cliente

Detalle de los hechos acontecidos

 El día 03 Julio 2007, el Sr. Pedro Santos Herrera Vigo, presentó un reclamo en la Agencia Los Olivos, manifestando que de sus cuentas de ahorros se habían realizado transferencias de dinero en moneda nacional sin su autorización, por un monto aproximado de Nueve Mil 00/100 Nuevos Soles (S/. 9,000.00).

A través de los sistema de la institución, se pudo verificar que el retiro se efectuó a través de una transferencia de cuentas, por un monto de Nueve Mil Nuevos Soles (S/. 9,000.00) hacia la cuenta soles de la cliente Sra. Rosa Elvira Carvajal Miranda, quién realizó cuatro (04) retiros sucesivos por un importe de Mil Quinientos Nuevos Soles en cada uno, vía ATM ubicado en la agencia Pardo por un total de Seis Mil Nuevos Soles (S/. 6,000.00).

Procedimientos de Auditoria:

Objetivo del Examen

1. Verificar la existencia de los clientes y sus actividades económicas.

2. Determinar la autenticidad de los documentos e información presentada por el cliente para efectuar el reclamo.

3. Establecer el nivel de responsabilidad de Funcionarios y trabajadores que participaron de la evaluación de la solicitud de duplicado de tarjetas de débito, así como de su aprobación y entrega.

4. Verificar la efectividad de los controles aplicados porla entidad para procedimientos de entrega de documentos(tarjetas, claves, otros).

Procedimientos de Auditoria

1. Entrevistas a los siguientes empleados de la Agencia Los Olivos:- Sr. César Torres Rodríguez, Funcionario de Operaciones.- Srta. Juliana Vargas Córdova, Asistente de Atención al Cliente.- Srta. Verónica Ramírez Meléndez, Asistente de Atención al Cliente.- Sr. Pedro Pérez Manco, Asesor de Negocios.

 2. Revisión de una muestra consistente en 35 aperturas de cuentas

realizadas en los últimos tres meses por la Srta. Juliana Vargas Córdova.

 3. Revisión de los movimientos de las diversas cuentas involucradas. 4. Verificación de la información en los sistemas de la Institución. 5. Verificación de la información proporcionada por las centrales de

riesgos (SBS e INFOCORP) y el RENIEC.

6. Visitas a la Agencia y domicilios de los posibles intervinientes, así como la revisión de sus expedientes personales.

Al verificar la firma en la constancia de entrega de la clave de Banca por Internet, esta no corresponde al puño gráfico del cliente Sr. Pedro Santos Herrera Vigo, según manifestación verbal realizada por el perito Sr. Gonzalo Núñez, quien habría indicado que no era sustantivo hacer una pericia al no poderse determinar la autoría de la firma.

La entrega de la clave de homebanking (clave por Internet) fue realizada el día 25 Junio 2007 a horas 13.21 a una persona aún no identificada, por cuanto la firma que aparece en el cargo no corresponde al titular de la cuenta. Sin embargo, aparece el sello y firma de la Srta. Juliana Vargas Córdova, Asistente de Módulo de Atención al Cliente, encargada de atender al cliente en esa oportunidad.

Resultados de la revisión

Asimismo, se ha verificado que la cuenta de ahorros de la Sra. Rosa Elvira Carvajal Miranda (cuenta receptora de los fondos), fue bloqueada inmediatamente después de hacerle entrega de una tarjeta de débito los días 18 y 21 de junio respectivamente, entre las 13.30 y 14.00 horas, habiéndose utilizado el usuario JVARGAS, correspondiente a la Srta. Juliana Vargas.

Se ha verificado que el cargo de entrega de tarjeta de débito a la Sra. Rosa Elvira Carvajal cuenta con una firma que no corresponde al cliente y el formato de bloqueo de tarjeta de débito no se ha podido ubicar en la Agencia.

  Se ha obtenido la información que en el rango horario de

13.00 a 14.00 aproximadamente, la Srta. Juliana Vargas toma su refrigerio en forma habitual, quedando a cargo la Srta. Verónica Ramírez Meléndez, también Asistenta de Atención al Cliente de la Agencia.

Resultados de la revisión

La entrega de la clave de Banca por Internet fue hecha en

forma fraudulenta, dado que la firma que aparece no corresponde al puño gráfico del Sr. José Herrera Meza, titular de la cuenta.

Existe responsabilidad en el personal de la Agencia (Funcionario de Operaciones y Asistentes de Atención al Cliente), al no tener en orden los cargos de tarjetas de débito y los formatos de bloqueo, los mismos que no son verificados por estas personas al término de las labores diarias.

Conclusiones:

De la revisión al cumplimiento de la Normatividad y Procedimientos de la Institución y luego de revisar la documentación existente en los sistemas de la institución y los proporcionados por el cliente, podemos mencionar que estos no fueron cumplidos, por los siguientes motivos:

Según manifestación de los empleados existe una marcada irresponsabilidad en el uso de claves dentro de la agencia, por cuanto se ha verificado que las mismas, por diversos motivos, son compartidas, no pudiéndose establecer fehacientemente mediante los sistemas informáticos el uso personal de las claves.

Todas las operaciones informáticas realizadas en la Agencia, con relación a este caso, han sido hechas con el usuario JVARGAS.

Se ha verificado que se han entregado cuatro tarjetas de débito a la Sra. Rosa Elvira Carvajal, de la siguiente manera:

Conclusiones:

Nº Tarjeta Fecha Activación Estado Actual Fecha Bloqueo / Anulación Usuario

2337-3300-0696-3503 17/05/2005 Bloqueo 24/07/2006 MSANCHEZ

2337-3300-1433-3102 08/08/2006 Bloqueo 15/10/2006 JGUTIÉRREZ

2337-3300-1534-4407 16/1 0/2006 Anulada 18/06/2007 JV ARGAS

2337-3300-2283-6111 21/06/2007 Activa - JVARGAS

Al realizarse la evaluación económica - financiera de los empleados

involucrados, se encontró un serio des balance patrimonial en la Srta.

Verónica Ramírez Meléndez, hecho verificado mediante los estados de

cuenta otorgados voluntariamente, estableciéndose que a la fecha debe

aproximadamente Setenta y Seis Mil Cuatrocientos Veinte Nuevos Soles (S/. 76,420.00) al sistema financiero en deuda crédito de consumo, teniendo a la fecha calificación Normal 30% y Deficiente 70%.

La Srta. Juliana Vargas, es responsable al no haber adoptado las medidas de seguridad adecuadas con el uso y resguardo de las claves informáticas

otorgadas por la institución, y por cuanto su sello y visto bueno aparece en el cargo de tarjeta de débito emitido el 21 Junio 2007 a horas 18.40.

No se ha cumplido con controlar el endeudamiento del personal registrado en las Centrales de Riesgo.

Conclusiones:

De la entrevista conjunta realizada con la Srta. Juliana Vargas Córdova y Verónica Ramírez Meléndez, en presencia de funcionarios de las

Gerencias de Asesoría Legal y Recursos Humanos, se ha podido concluir que:

a) Ambas personas mantienen una relación estrictamente laboral.

b) La Srta. Verónica Ramírez Meléndez manifiesta que su desbalance

patrimonial obedece a que dos de sus tarjetas de crédito son canceladas

mensualmente por sus familiares, no pudiendo acreditar dichos actos

con los ingresos de los mismos.

Conclusiones:

Falta de supervisión y orden en los cargos de entrega de tarjetas de débito y los formatos de bloqueo, al término de las labores diarias.

Debilidades en el Sistema al no restringir el ingreso de un mismo usuario en dos PCS al mismo tiempo.

Descuido de los empleados al no bloquear sus sistemas durante su ausencia de su ubicación física.

El sobreendeudamiento en el sistema financiero de la Srta. Verónica Ramírez.

Señales de alerta

Procedimientos de Auditoria preventivos:

1. Revisión de los registros de stock de los documentos valorados

(tarjetas, claves, entre otros), los cuales deberán contar con el V°B° del Funcionario de Operaciones (en señal de conformidad de su supervisión), esto al inicio y final de operaciones.

2. Verificación de la documentación sustentatoria correspondiente a entregas de valorados (tarjetas de débito, pin mailers, homebanking) por aperturas de cuentas o duplicados; corroborando con lo registrado en el Sistema.

3. Verificación de los registros de acceso al sistema (log) del personal de agencia, tomando importancia las horas de refrigerio y al cierre de operaciones.

Entre los procedimientos preventivos que debieron aplicarse podemos mencionar:

4. Verificación muestral de las firmas de los clientes en los cargos de entrega de documentos valorados (tarjetas de débito, pin mailers, homebanking, etc), contrastándolas con la página de la RENIEC.

5. Inspección ocular de la custodia de sellos y claves por el personal empleado de la agencia, poniendo énfasis en los horario de apertura, refrigerio y cierre de operaciones. Asimismo, verificar que las computadoras se encuentren bloqueadas ante la ausencia del personal asignado a dicha máquina.

6. Verificación de la situación financiera del personal responsable de dinero y documentos valorados, a fin de conocer su nivel de endeudamiento patrimonial.

Procedimientos de Auditoria preventivos:

Triángulo del Fraude

Respecto del fraude, expuesto en el presente caso, aplicado al “Triángulo del Fraude”, podemos mencionar que se han cumplido los tres elementos, tal como mencionamos a continuación:

1. Motivo: Deuda personal.

2. Oportunidad Percibida: debilidad del control interno en los accesos a los sistemas, compartir claves, descuido de sellos, falta de supervisión del Funcionario de Operaciones.

3. Racionalización: alegar baja remuneración, fraude cometido por otros empleados.

Recomendaciones

Al momento de activarse las tarjetas de débito y realizarse el cambio de contraseña inicial, el cajero terminalista debe verificar la identidad del cliente; de esta manera se realizará un control dual sobre la identidad del cliente. Locuaz debiera estar incluido en algún procedimiento formal:

  “El Cajero Terminalista deberá Ejecutar la primera transacción

para clientes con tarjeta de débito, debiendo identificar al cliente solicitándole su DNI, confrontando éste con la copia fotostática del DNI que obrará en el expediente, procediendo a visar y sellar dicha copia, luego de lo cual realizará la transacción de cambio de clave. Mientras no se efectúe la debida identificación y la transacción, el cliente no podrá disponer de su efectivo”.

  Al tomar su refrigerio, los empleados deberán dejar bloqueados

sus sistemas y esto deberá consignarse en un archivo histórico del sistema (LOG), a fin de poder verificar en un muestreo aleatorio si se adoptaron o no las medidas de seguridad en el puesto de trabajo durante su ausencia.

Recomendaciones

Se debe incidir en que el supervisor directo informará al área de Sistemas de la salida del personal de permiso o vacaciones, debiendo ésta área anular todas las claves (passwords) el día anterior al inicio de éstas, para ello se cuenta con el "Proceso de Control de Accesos a los Sistemas Informáticos", que a la letra indica:

  "Cuando se trata de vacaciones, el jefe directo deberá enviar un

e-mail a Mesa de Ayuda, para deshabilitar los respectivos accesos y cuando éste regrese deberá solicitar vía mail la habilitación de los mismos".

  La Gerencia de Recursos Humanos deberá cumplir con realizar

un control periódico de la posición financiera de los empleados (endeudamiento), incidiendo en aquellos puestos que tienen mayor manejo de informes o procesos sensibles para la institución (Comunicación de RR. HH. - Relaciones Laborales, de fecha 11/06/2007)

Recomendaciones

Habida cuenta que se ha podido establecer que con el mismo USUARIO se puede estar conectado a la vez en dos o más PCS. Se sugiere que el Área de Sistemas disponga de una bitácora, a fin de registrar los accesos de todos los usuarios a los Sistemas de la Institución, no debiendo permitirse que un mismo usuario se registre en dos PCS diferentes.

  Las Áreas de Negocios y de Operaciones, en coordinación

con la Gerencia de Recursos Humanos, y con arreglo a lo establecido en el Reglamento Interno de Trabajo, deberán evaluar el desempeño laboral, así como las faltas precisadas en el presente informe, y determinarán las medidas disciplinarias a aplicar a los siguientes trabajadores:

Recomendaciones

Nº Nombre del Empleado Cargo Responsabilidad

1César Torres Rodríguez

Funcionario de Operaciones

No tener en orden los cargos de tarjetas de débito y los formatos de bloqueo, los mismos que no fueron verificados al término de labores diarias, de acuerdo a los Procesos Normativa del Módulo de Atención al Cliente y Administración y Gestión de Tarjetas de Débito.No verificar la información completa que debe obrar en los contratos y formularios suscritos entre los clientes y la institución.

2Juliana Vargas Córdova

Asistente de Atención al Cliente

La reimpresión no autorizada del formato de entrega de tarjeta de débito perteneciente a la Sra. Rosa Carvajal dispuesta desde la PC del usuario JVARGAS a horas 18.40 del 21/06/07, por cuanto la operación, según registro informático, fue realizada a horas 13.53 del 21/06/07, verificándose en dicha reimpresión el sello y el visto bueno de la Srta. Juliana Vargas.No haber adoptado las medidas de seguridad adecuadas con el uso y resguardo de las claves informáticas otorgadas por la institución tal como señala "Reglamento Interno de Trabajo" y el "Proceso de Control de Accesos a los Sistemas Informáticos ", que a la letra indica: "La contraseña o password es personal e intransferible. Siendo el usuario, responsable de mantenerlo en reserva. El incumplimiento de esta norma constituye una falta laboral grave. Cada vez que el usuario deje su lugar de trabajo deberá bloquear la estación de trabajo (PC) utilizando las teclas Ctrl. + Alt. + Suprimir y Enter. Para el caso donde varios usuarios utilicen un mismo equipo, el usuario deberá abandonar la sesión luego de haber trabajado en ella, de esta manera forzará al próximo usuario a que utilice su propio usuario y contraseña".

Recomendaciones

Nº Nombre del Empleado Cargo Responsabilidad

3

Verónica Ramírez

Meléndez Asistente de Atención al Cliente

Es responsable por incumplir el Manual de Conducta y Ética y la Comunicación de la Gerencia de Recursos Humanos de fecha 11.07.2007, al no evitar su excesivo endeudamiento, en detrimento de su actividad profesional.

Gracias!Gracias!