Controles de fraude en cambios bancarios del maestro de proveedores: Verificación de cambios en los datos bancarios del proveedor

¿Qué es el fraude por cambio de datos bancarios de proveedores?

El fraude por cambio de datos bancarios de proveedores logra que un comprador sustituya la cuenta bancaria de un proveedor real por una controlada por el estafador. En el anuncio del FBI del 4 de mayo de 2017, basándose en las denuncias recibidas hasta 2016, el IC3 informó de casos en los que una solicitud aparentemente suplantada modificó la ubicación de pago de un proveedor, redirigiendo todos los pagos de facturas entrantes. De acuerdo con el anuncio del FBI del 14 de junio de 2016, tales solicitudes llegan por teléfono, fax o correo electrónico y se asemejan mucho a las genuinas.

Esta guía abarca los cambios en los registros de proveedores existentes. La recopilación de datos bancarios de un nuevo proveedor se aborda en la guía clasificada por riesgo para la incorporación de proveedores, y la vía de pago que alimenta se establece en la guía sobre la arquitectura de compras a pago.

¿Qué deficiencias en los procesos explota este fraude?

En el informe de la encuesta de 2026 de la AFP, basado en 465 profesionales de tesorería que informan sobre 2025, los estafadores se hicieron pasar mayormente por proveedores o directivos para lograr que se modificaran las instrucciones de pago. En el mismo informe, dos encuestados anónimos muestran la brecha: se introdujo una nueva cuenta bancaria para un proveedor clave antes de que Tesorería la confirmara, y en otro caso, alguien que se hacía pasar por un cliente envió nuevos datos y cuentas por pagar llamó por teléfono al número que aparecía en ese correo electrónico.

En el artículo de mayo de 2026 de la AFP sobre los escenarios de fraude de los encuestados, varios incidentes involucraron a equipos que omitieron la devolución de llamada o aceptaron la confirmación por correo electrónico, a veces en el mismo hilo de mensajes que contenía la solicitud.

En el informe de la encuesta de 2024 de la AFP de profesionales de tesorería, que abarca 2023, los autores señalan que un pago puede provenir de un empleado comprometido que modifica los datos bancarios del proveedor sin la validación adecuada en el proceso maestro de proveedores, y un encuestado informó sobre el uso de credenciales de inicio de sesión obtenidas ilícitamente para intentar cambiar los datos bancarios.

¿Cómo debe una devolución de llamada confirmar un cambio de datos bancarios?

Según el anuncio de 2016 del FBI, las empresas deben establecer un canal telefónico al inicio de la relación y fuera del correo electrónico, utilizando números conocidos previamente y no los indicados en la solicitud. En el informe de la encuesta de 2026 de la AFP, el 94% de las organizaciones encuestadas afirmó que verifica las solicitudes de transferencia de fondos mediante una llamada a un contacto autorizado del beneficiario utilizando un número de los registros oficiales, y el 63% de dichos usuarios calificó este método como muy efectivo, según una autoevaluación.

Según el artículo de mayo de 2026 de la AFP sobre escenarios de fraude, un intento que involucraba los datos bancarios alterados de un cliente superó una verificación telefónica antes de que las inconsistencias lo expusieran, un buzón de proveedor comprometido envió documentos que parecían válidos y una persona que se hacía pasar por un banco utilizó el número real de dicha institución.

Desde la perspectiva de esta guía, la llamada debe ser saliente, a un número de los registros del comprador que se estableció al principio de la relación o se verificó por última vez antes de la solicitud y no ha cambiado desde entonces, realizada por alguien que no recibió la solicitud y registrada. Desde la misma perspectiva, las cartas y los estados de cuenta que muestran la nueva cuenta respaldan el expediente, pero no indican quién lo solicitó.

En el anuncio de mayo de 2017 del FBI, el FBI señala que la solicitud repentina de un contacto comercial para ser localizado en una dirección de correo electrónico personal podría ser fraudulenta. Desde la perspectiva de esta guía, cualquier cambio en los números de teléfono, direcciones de correo electrónico o contactos designados de un proveedor requiere la misma retención, llamada de devolución a un contacto previamente verificado, aprobación y registro que un cambio bancario, ya que quien reemplace al contacto registrado responderá a la llamada posterior.

¿Quién debe recibir, verificar, aprobar y autorizar un cambio?

En un modelo evaluado por pares de segregación de funciones de 2014, leído para esta guía únicamente en resumen, Kevin Kobelsky define la separación de funciones como la asignación del trabajo de modo que ninguna persona pueda cometer y ocultar un error o fraude a la vez, y su modelo trata la concesión y la aprobación del acceso al sistema como funciones separadas. Según el mismo resumen, el modelo requiere al menos tres personas para la separación primaria en el trabajo asistido por TI y cinco para la separación secundaria; desde el punto de vista de esta guía, los sitios pequeños necesitan, por lo tanto, una revisión compensatoria.

En el resumen de Deloitte del marco COSO, la segregación de funciones suele formar parte de la manera en que se seleccionan las actividades de control, y la gerencia elige controles alternativos cuando dicha separación no resulta práctica. De acuerdo con el mismo resumen, separar la introducción de datos de la autorización reduce el riesgo únicamente si las personas involucradas no se ponen de acuerdo para cometer fraude.

En la guía de 2016 del FBI sobre los cambios en la ubicación de los pagos, el FBI señala que una autorización secundaria por parte del personal de la empresa puede servir como segundo factor. Desde el punto de vista de esta guía, el receptor, el verificador, el aprobador y la persona que libera los pagos deben ser cuatro personas diferentes, y la forma en que dichos roles se cruzan entre sistemas se detalla en la guía de controles de procure-to-pay.

Desde la perspectiva de esta guía, un comprador multisede necesita un punto de recepción central: quien reciba una solicitud en una sede o en un buzón de cuentas por pagar la reenvía sin modificar y nunca la introduce manualmente ni la responde. De este modo, una verificación por proveedor cubre todos los registros de los sistemas ERP y de códigos de empresa, y los cambios en portales, centros de datos maestros, interfaces y cargas masivas quedan sujetos a la misma retención y devolución de llamada.

¿Cómo se deben gestionar las solicitudes de cambio urgentes?

En el informe de la encuesta de 2026 de la AFP, los autores recomiendan políticas claras sobre los plazos de pago estándar, ya que un mayor margen de tiempo antes de pagar puede ayudar a prevenir el fraude, así como un examen riguroso de los pagos inmediatos o de emergencia. En el anuncio de 2017 del FBI, las solicitudes de confidencialidad o de acción rápida son señales de alerta, y algunos bancos informaron que retienen las solicitudes de transferencias internacionales durante más tiempo para revisarlas.

Desde la perspectiva de esta guía, la urgencia debería alargar el proceso: no se paga nada a la nueva cuenta hasta que se realicen la devolución de llamada y la aprobación, y la urgencia activa una segunda llamada a otro contacto registrado. Desde el mismo punto de vista, las facturas que vencen mientras tanto esperan, o se envían a la cuenta ya verificada una vez que el contacto verificado del proveedor confirma que sigue activa; ninguna fuente revisada establece un período de retención.

¿Qué puede mostrar la validación automatizada de cuentas bancarias?

En la página de validación de cuentas de Nacha, leída el 14 de noviembre de 2026, la validación se considera una buena práctica para cualquier entidad que emita pagos. Según la misma página de Nacha, la norma que lo exige, vigente desde el 19 de marzo de 2021, abarca los datos de cuentas de consumidores de primer uso para débitos de consumidores en línea; en ese ámbito, según la lectura de esta guía, no alcanza a la cuenta nueva de un proveedor. Bajo el enfoque neutral en cuanto a métodos de dicha regla, las opciones incluyen prenotificaciones, microdepósitos y servicios comerciales que utilizan datos agrupados o credenciales de la banca en línea.

Desde la perspectiva de esta guía, un resultado de validación no muestra quién solicitó el cambio, por lo que no puede sustituir a la llamada de confirmación; archívelo como un registro adicional.

¿Cómo se deben gestionar los registros de proveedores inactivos y duplicados?

Ninguna fuente oficial o de investigación revisada cubre los registros inactivos o duplicados, por lo que esta sección es un análisis propio de la guía. Bloquee los registros sin pagos durante un período establecido por el comprador, de modo que la reactivación requiera la misma verificación que un cambio de banco, y fusione o bloquee los duplicados que contengan otros datos bancarios una vez que un propietario designado confirme el correcto. Ejecute estas comprobaciones de forma periódica como parte de la gobernanza del ciclo de vida del proveedor después de la incorporación.

¿Qué debe demostrar el registro de cambios a un auditor?

Según el resumen de COSO de Deloitte, las políticas de control deben documentarse, evaluarse con regularidad y revisarse cuando surja una necesidad específica, y el departamento de TI debe configurarse para restringir el acceso y respaldar la separación de funciones. Desde la perspectiva de esta guía, el registro de cambios es el documento que un comprador debe poder mostrar a un auditor; el protocolo a continuación detalla lo que cada paso deja tras de sí.

¿Qué debe suceder si una cuenta modificada resulta ser fraudulenta?

En la página de BEC del IC3, leída el 14 de noviembre de 2026, el FBI aconseja solicitar de inmediato al banco de origen una anulación o reversión y una carta de indemnidad o descargo de responsabilidad, así como presentar una denuncia detallada ante el IC3. Desde el punto de vista de esta guía, tesorería realiza esa llamada al banco; compras bloquea al proveedor para pagos en todos los ERP, lo retira de las ejecuciones de pago pendientes, llama por teléfono al proveedor real a su contacto verificado y conserva las pruebas para finanzas, seguridad y asuntos legales, quienes se encargan de la recuperación y de cualquier postura legal.

¿Cómo cambiarán los agentes de AI la verificación de cambios en los datos bancarios?