El director de auditoría interna de una empresa manufacturera decidió incluir el ciclo de compras en el plan anual después de tres años sin revisarlo. La administración consideraba que el proceso estaba controlado: había políticas vigentes, un comité de adquisiciones y tres cotizaciones como requisito para cualquier compra superior a cincuenta mil dólares. En la primera semana de trabajo de campo, el equipo de auditoría descubrió que el 40% de las órdenes de compra del último año se habían fraccionado en montos justo por debajo del umbral que activaba la aprobación del comité. 

No era coincidencia. Era diseño. 

El ciclo más vulnerable y el menos auditado 

El proceso de compras y contratación es, en la mayoría de las organizaciones, el área con mayor exposición a fraude ocupacional. Los reportes internacionales sobre delitos económicos lo confirman de manera consistente: la corrupción en adquisiciones, los pagos a proveedores ficticios y la manipulación de licitaciones concentran el mayor porcentaje de pérdidas por fraude interno en empresas de América Latina. 

Sin embargo, muchos departamentos de auditoría interna revisan compras de manera superficial, limitándose a verificar que existan las tres cotizaciones, que las firmas de aprobación estén completas y que los montos coincidan con las órdenes de compra. Ese enfoque detecta errores administrativos, pero rara vez descubre esquemas de fraude diseñados precisamente para cumplir con los controles formales mientras se desvían recursos. 

Cuatro esquemas que los controles formales no detectan 

Existen patrones de irregularidad en compras que se repiten con variaciones mínimas en organizaciones de todos los tamaños y sectores. 

• El primero es el fraccionamiento deliberado de contratos. Dividir una compra grande en varias pequeñas para evadir niveles de aprobación superiores. Es el esquema más común y el más sencillo de ejecutar. Se detecta cruzando órdenes de compra por proveedor y por período, buscando concentraciones inusuales justo por debajo de los umbrales de autorización. 
• El segundo es el proveedor con vínculos no declarados. Un funcionario del área de compras que tiene relación familiar, societaria o económica con un proveedor habitual. Las políticas de conflicto de interés existen en casi todas las organizaciones, pero pocas verifican su cumplimiento de manera activa. La auditoría interna puede cruzar bases de datos de proveedores con registros mercantiles y declaraciones de conflicto de interés para identificar coincidencias que la administración no detecta. 
• El tercero es la licitación dirigida. Se invita a tres proveedores, pero las especificaciones técnicas están escritas de manera tan específica que solo uno puede cumplirlas. Las otras dos cotizaciones son de relleno. Se identifica analizando la frecuencia con la que un mismo proveedor resulta adjudicado y comparando las especificaciones técnicas con las capacidades reales del mercado. 
• El cuarto es el sobrecosto sistemático. Precios unitarios que superan consistentemente los valores de referencia del mercado, aceptados sin cuestionamiento porque el proveedor «siempre ha cumplido» o porque «es el único que maneja ese producto.» La ausencia de análisis comparativos de precios permite que estos sobrecostos se acumulen durante años sin ser detectados. 

Cómo estructurar una auditoría efectiva al ciclo de compras 

Una revisión de compras que genere valor real requiere ir más allá de la verificación documental. El equipo de auditoría debe combinar análisis de datos con comprensión del contexto operativo. 

• El punto de partida es el análisis completo de la base de proveedores: antigüedad, concentración de adjudicaciones, evolución de montos y frecuencia de contratación. Herramientas de gestión de auditoría como AuditBrain permiten estructurar estas pruebas dentro del flujo de trabajo del encargo, documentando cada análisis con su evidencia y vinculándolo directamente a los hallazgos. 
• El segundo paso es la revisión de excepciones y desviaciones a las políticas. No solo verificar que la política existe, sino medir con qué frecuencia se incumple y quién autoriza esas excepciones. Un patrón de excepciones recurrentes aprobadas por la misma persona es una señal de alerta que merece investigación. 
• El tercer paso es entrevistar a los usuarios finales del proceso, no solo a los responsables de compras. Quienes reciben los bienes o servicios pueden aportar información sobre calidad, cumplimiento de plazos y coherencia entre lo contratado y lo entregado. 

El proceso que nadie quiere que auditen 

Existe una realidad que todo auditor interno reconoce: cuando un área reacciona con resistencia desproporcionada ante el anuncio de una auditoría, generalmente hay algo que proteger. El ciclo de compras suele generar esa reacción. 

Esa resistencia no es razón para evitar la revisión. Es razón para profundizarla.