Casos integradores de control interno

No hay un único universo: solicitudes y transferencias responden preguntas diferentes. Primero reconcilia las 100 solicitudes omitidas y vincula las 420 transferencias con decisiones autorizadas. Los seis casos y cuatro cambios describen la selección revisada; no estiman automáticamente tasas institucionales. La falta de soporte no prueba por sí sola inelegibilidad ni fraude, pero impide acreditar la comprobación esperada.

La concentración de funciones y los cambios sin contraste indican exposición relevante. El 95 % global no demuestra que los controles críticos funcionen. La conclusión debe destacar elegibilidad, integridad de datos y autorización de pagos, con su evidencia y limitaciones.

R1: información incompleta o falsa → beneficio a persona no elegible → uso indebido de recursos. R2: acceso incompatible → cambio no autorizado de cuenta → desvío del beneficio. R3: reporte incompleto → solicitudes sin seguimiento → retraso o trato desigual. Cada evento se relaciona con un objetivo; las causas no se reducen a falta de capacitación.

Para R1, contrasta requisitos con fuentes competentes antes de decidir y registra diferencias. Para R2, revisa permisos, separa modificación y liberación y conserva autorización y trazabilidad; analiza accesos efectivos, no solo nombres de roles. Para R3, reconcilia registros y genera alertas de pendientes con estados definidos. La revisión necesita información completa y una respuesta a excepciones.

Acción inmediata: preservar evidencia, analizar los casos expuestos y establecer revisión competente de operaciones críticas dentro de la autoridad aplicable. La gestión de casos ya pagados se tramita por el cauce pertinente, sin presumir responsabilidades individuales.

Hitos del plan: reconciliación y análisis de diferencias; criterios y permisos aprobados; pruebas con casos válidos, inválidos y modificaciones; operación supervisada; revisión posterior de resultado. Asigna responsable, recursos, fecha y evidencia a cada hito. El residual actual se valora con controles existentes; el efecto de medidas pendientes permanece como estimación futura.

Conclusión modelo: «la evidencia identifica brechas en información y autorizaciones que impiden sustentar el funcionamiento de controles críticos en los casos examinados. La reconciliación del universo y el análisis de operaciones relacionadas son necesarios para delimitar la exposición. Se priorizan controles de elegibilidad, cambios de cuenta y liberación de pagos, con revisión posterior de ejecución y resultados».

La suma de ₡11,6 millones coincide con la factura; esos datos no acreditan por sí solos duplicación. La división permitió que ninguna transferencia activara la revisión adicional, pero deben examinarse criterio interno, forma de pago autorizada, justificación, competencia y trazabilidad. El curso no establece una regla legal general de contratación a partir del umbral inventado.

Si la regla interna atiende el importe de la obligación, verificar solo cada transferencia deja una brecha de cobertura. Una propuesta es relacionar obligación y pagos acumulados, identificar excepciones y exigir su tratamiento por la autoridad competente. Deben analizarse pagos parciales válidos y periodos para evitar falsos positivos.

Prueba una obligación única sobre el umbral, dos parciales que juntas lo superan, obligaciones diferentes al mismo proveedor, un pago anulado y un reenvío. Conserva criterios y resultados. Examinar todas las coincidencias del sistema no demuestra que toda coincidencia sea irregular: clasifícalas con soporte.

El cierre exige configuración autorizada y comprobación de ejecución en el periodo, además del tratamiento de los casos existentes. Si las pruebas funcionan, pero los usuarios pueden modificar identificadores sin revisión, persiste una dependencia que afecta la conclusión.

La restauración de seis horas ya excede el objetivo de tiempo declarado y todavía no demuestra restablecimiento integral del servicio. Entre la última copia y la falla hay 16 horas de información potencialmente no cubierta por esa copia. Eso describe exposición: no prueba pérdida efectiva de todos los datos, pues podrían existir registros u otros mecanismos recuperables que deben examinarse.

El respaldo mostrado no sustenta por sí solo el objetivo de una hora. Revisa estrategias, dependencias y pruebas; verifica accesos, integridad de datos e interfaces antes de concluir continuidad. Los objetivos son supuestos del caso, no tiempos normativos universales.

Asigna identificadores a las 80 solicitudes, preserva fecha y documentación, controla accesos y reconcilia al reingresarlas para evitar omisiones y duplicados. Define la autoridad que activa y cierra la operación alterna y la comunicación a interesados.

El plan debe atender datos, servicio, capacidades y proveedores. Repite la prueba bajo un escenario representativo y registra tiempos reales, punto recuperado, excepciones y decisión de aceptación o mejora. Una compra de infraestructura es un producto, no evidencia suficiente de que el objetivo se alcanzó.