Pensar como quien defrauda: el método que los mejores sistemas de compliance ya aplican
El análisis inverso aplicado al compliance consiste en diseñar escenarios donde un defraudador podría actuar con éxito para detectar las vulnerabilidades reales del sistema antes de que alguien las explote. Es una metodología criminológica que complementa y somete a prueba los programas de cumplimiento penal exigidos por el artículo 31 bis del Código Penal español.
El compliance que no se ha puesto a prueba no existe
Imagine que el responsable de cumplimiento normativo de su empresa acaba de presentar el informe anual. El programa está actualizado, los procedimientos documentados, el canal de denuncias activo. Todo en regla.
Y sin embargo, ese mismo mes, un proveedor de confianza lleva doce semanas cargando facturas duplicadas que nadie ha detectado.
Este escenario no es una exageración. Es el patrón más frecuente en los casos de fraude corporativo que llegan a los tribunales españoles: un sistema de compliance formalmente impecable que en la práctica nunca fue atacado y, por eso, nunca supo que tenía una brecha.
La pregunta que pocas organizaciones se hacen es incómoda pero necesaria: ¿hemos comprobado si nuestro sistema funciona cuando alguien intenta activamente saltárselo?
Cuando el sistema falla porque nunca fue atacado
El defraudador no estudia el manual de compliance de su organización. Estudia sus procesos reales. Aprende quién aprueba qué, qué controles tienen un responsable que siempre está de viaje, qué flujo de facturación pasa por menos ojos. No busca lo prohibido: busca lo posible.
Esta asimetría entre quien diseña los controles y quien los elude es el punto de partida del análisis inverso. Y es también la razón por la que la prevención del fraude interno exige un enfoque que va mucho más allá del rediseño documental: requiere entender cómo piensan quienes lo cometen.
Qué es el análisis inverso aplicado al fraude
El análisis inverso —también denominado reverse fraud analysis o simulación adversarial— es una metodología criminológica que invierte el punto de partida habitual del compliance. En lugar de preguntar «¿tenemos los controles exigidos?», pregunta: «¿podría alguien saltarse estos controles, y cómo lo haría?».
No se trata de especulación. Se trata de construir un perfil del defraudador interno plausible para el sector y tamaño de la organización, identificar los procesos con mayor exposición y simular de forma controlada cómo operaría esa persona. Es, en esencia, asumir la perspectiva del adversario para fortalecer las defensas propias: la base de toda criminología empresarial aplicada.
La lógica del adversario como metodología
El criminólogo Donald Cressey identificó en 1953 los tres factores que se combinan en todo fraude: una presión o incentivo (económico, laboral, personal), una oportunidad percibida (el control que falla o que nadie supervisa de verdad) y una racionalización que permite al individuo justificarse internamente. Este esquema, conocido como el Triángulo del Fraude, sigue siendo hoy el modelo más sólido para anticipar conductas desviadas en entornos organizativos.
El análisis inverso toma este triángulo y lo convierte en una herramienta activa: ¿qué presiones existen en nuestra organización? ¿Qué oportunidades reales ofrece nuestra estructura de procesos? ¿Qué narraciones internas permitirían a alguien justificar una conducta desleal?
Diferencias con una auditoría tradicional
Una auditoría de compliance verifica que los controles están documentados y que se cumplen los protocolos. Es necesaria, pero solo suficiente si nadie intenta vulnerarlos deliberadamente. El análisis inverso opera en el nivel siguiente: no comprueba que el control existe, sino que funcionaría bajo presión real.
La diferencia es la misma que existe entre comprobar que una cerradura está instalada y comprobar si alguien con las herramientas adecuadas puede abrirla.
Cómo se diseña un escenario organizativo deliberadamente vulnerable
El proceso no es improvisado ni arriesgado si se ejecuta con rigor metodológico. Se estructura en cuatro pasos:
Paso 1 · Mapear los puntos de mínima resistencia. Identificar los procesos donde la supervisión es escasa, la concentración de decisión es máxima o el acceso a recursos es amplio con poca trazabilidad. En una empresa distribuidora, esos puntos suelen estar en los gastos de representación autorizados de forma autónoma por responsables regionales; en una administración pública, en el acceso previo a información sensible sobre licitaciones.
Paso 2 · Construir el perfil del defraudador interno plausible. No un delincuente de manual, sino alguien real: con acceso legítimo, conocimiento del sistema, motivación comprensible y tiempo suficiente para actuar sin levantar sospechas. La perfilación criminológica aplicada a entornos empresariales permite anticipar esa figura antes de que aparezca.
Paso 3 · Simular la conducta desviada en entorno controlado. Diseñar escenarios hipotéticos donde ese perfil opera dentro de los procesos reales identificados. El objetivo es detectar si el sistema de alerta lo detectaría, en qué punto, con qué retraso y con qué evidencias disponibles.
Paso 4 · Traducir los hallazgos en mejoras accionables. Las brechas identificadas son el insumo directo para reforzar el programa de cumplimiento. No se añaden más controles: se hacen más inteligentes, orientados a los vectores reales de fraude de esa organización concreta. Herramientas como los mapas de calor criminológicos aplicados a procesos y espacios empresariales permiten visualizar con precisión dónde se concentra el riesgo real y priorizar actuaciones con criterio.
Marco legal en España: responsabilidad penal y debida diligencia real
El artículo 31 bis del Código Penal español establece que una persona jurídica puede ser penalmente responsable si no acredita haber adoptado, antes de la comisión del delito, un modelo de organización y gestión adecuado para prevenir conductas delictivas o reducir de forma significativa su riesgo.
Esta acreditación no se resuelve con documentación. Se resuelve con evidencia de que el modelo fue diseñado, implementado, supervisado y sometido a verificación real. Un análisis inverso bien documentado puede convertirse, en caso de investigación judicial, en prueba de diligencia efectiva, no solo formal.
Comprender cómo ha evolucionado el marco procesal penal —y qué exige hoy a las organizaciones desde el punto de vista probatorio— es clave para diseñar programas que soporten el escrutinio más exigente. Lo analizamos en detalle en Criminología estratégica en el nuevo proceso penal: una ventaja decisiva ante la nueva LECrim.
Qué puede hacer su organización ante este escenario
Aplicar el análisis inverso no requiere desmontar el programa de compliance existente. Requiere someterlo a prueba. Estas son las actuaciones más accionables:
- Encargue una revisión criminológica externa de los tres procesos con mayor concentración de riesgo en su organización.
- Solicite la construcción de un perfil de defraudador interno específico para su sector y tamaño. No el genérico de los manuales: uno verosímil para su estructura real.
- Evalúe si su canal de denuncias funciona de verdad. Si sus empleados no confían en él o no saben cómo acceder, no existe.
- Incorpore el análisis inverso al ciclo anual de revisión del compliance, no como auditoría puntual sino como metodología de mejora continua.
- Verifique si las autorizaciones de gasto, contratos y accesos a información sensible tienen supervisión real o solo formal.
Si su organización nunca ha realizado este tipo de ejercicio, puede que necesite un criminólogo antes de lo que imagina.
Mini glosario
Análisis inverso (reverse fraud analysis): metodología que parte de la perspectiva del defraudador para identificar vulnerabilidades reales en los sistemas de control interno, antes de que sean explotadas.
Insider threat: amenaza protagonizada por alguien dentro de la propia organización —empleado, directivo, proveedor con acceso— que conoce y aprovecha los puntos débiles del sistema.
Triángulo del Fraude: modelo criminológico de Donald Cressey que explica el fraude como la confluencia de tres factores: presión o incentivo, oportunidad percibida y racionalización interna.
Escenario adversarial: simulación controlada de una conducta fraudulenta con el objetivo de identificar fallos en los mecanismos de detección y control existentes.
Responsabilidad penal de la persona jurídica: régimen del artículo 31 bis del Código Penal español por el que una empresa puede ser penalmente sancionada si no acredita haber adoptado medidas reales y eficaces de prevención del delito.
Red Team de compliance: equipo o servicio externo que asume el rol del adversario para poner a prueba los sistemas de prevención de una organización.
Control interno COSO: marco de referencia internacional para el diseño, implementación y evaluación de sistemas de control interno en todo tipo de organizaciones.
Preguntas frecuentes
¿Es legal simular conductas fraudulentas dentro de una empresa? Sí, siempre que se realice en entorno controlado, con autorización expresa de la dirección y sin poner en riesgo datos reales ni derechos de terceros. Es una práctica de auditoría avanzada perfectamente compatible con el ordenamiento jurídico español.
¿En qué se diferencia el análisis inverso de una auditoría de compliance tradicional? La auditoría verifica que los controles existen y están documentados. El análisis inverso comprueba si esos controles funcionarían cuando alguien intenta deliberadamente evitarlos.
¿Solo es útil para grandes empresas? No. Las pymes y las administraciones públicas son con frecuencia más vulnerables, precisamente porque destinan menos recursos al control interno y tienen mayor concentración de decisión en pocas personas.
¿Qué delitos cubre este enfoque? Principalmente fraude, apropiación indebida, corrupción entre particulares, cohecho y administración desleal, todos recogidos en el Código Penal español como delitos de los que puede responder una persona jurídica.
¿Cuánto tiempo lleva un análisis inverso? Un diagnóstico inicial estructurado puede completarse en tres a seis semanas, dependiendo del tamaño y complejidad de la organización.
¿Quién debe liderarlo? Idealmente un criminólogo externo en coordinación con el compliance officer interno, para garantizar independencia metodológica y objetividad en los hallazgos.
¿Su compliance resistiría la prueba?
La pregunta no es si su organización tiene un programa de compliance. La pregunta es si ese programa sobreviviría al primer empleado que decide buscarle las costuras.
El análisis inverso no es un ejercicio académico: es la herramienta que permite pasar de un compliance de papel a uno que funciona cuando más importa.
En Forentia 360 trabajamos con organizaciones de todos los tamaños para diseñar y ejecutar este tipo de diagnósticos, desde la construcción del perfil de riesgo hasta la entrega de un informe accionable que refuerza, documenta y acredita la diligencia real del programa.
Solicite una consulta inicial sin compromiso y evaluemos juntos si su sistema de compliance ha sido diseñado para resistir o solo para cumplir.
Lecturas relacionadas
- Prevención de fraudes internos mediante rediseño de procesos y espacios de trabajo
- Criminología estratégica en el nuevo proceso penal: una ventaja decisiva ante la nueva LECrim
- ¿Tu empresa necesita un criminólogo? La respuesta es sí, aunque no lo sepas
- Mapas de calor criminológicos en espacios empresariales: del dato a la prevención inteligente
FUENTES
Cressey, D. R. (1953). Other People’s Money: A Study in the Social Psychology of Embezzlement. Free Press.
Association of Certified Fraud Examiners (ACFE). (2024). Report to the Nations: Global Study on Occupational Fraud and Abuse. ACFE.
Committee of Sponsoring Organizations of the Treadway Commission (COSO). (2013). Internal Control – Integrated Framework. COSO.
España. Ley Orgánica 10/1995, de 23 de noviembre, del Código Penal. Art. 31 bis (redacción vigente conforme a LO 1/2015, de 30 de marzo). BOE núm. 281.
Fiscalía General del Estado. (2016). Circular 1/2016 sobre la responsabilidad penal de las personas jurídicas conforme a la reforma del Código Penal efectuada por Ley Orgánica 1/2015. FGE.
ISO 37001:2016. Sistemas de gestión antisoborno – Requisitos con orientación para su uso. Organización Internacional de Normalización.
Albrecht, W. S., Albrecht, C. O., Albrecht, C. C., & Zimbelman, M. F. (2019). Fraud Examination (6.ª ed.). Cengage Learning.
