Fraude en Cuentas por Pagar: Guía para Finanzas

El 79% de las organizaciones sufrió intentos o casos reales de fraude en pagos durante 2024, según el AFP Payments Fraud and Control Survey. No es un riesgo que podría afectar a tu empresa algún día — es casi seguro que alguien ya lo intentó.

El fraude en cuentas por pagar dejó de ser un riesgo abstracto. El mismo estudio de la AFP señala que el compromiso de correo electrónico empresarial (BEC) sigue siendo el principal vector de ataque, citado por el 63% de los encuestados. Pero los métodos son más sofisticados, y ya no son la única amenaza.

Cómo Ha Evolucionado el Fraude en Cuentas por Pagar

El fraude tradicional en AP dependía del acceso interno: un proveedor ficticio, una factura duplicada, un cheque alterado. Esos esquemas aún existen, pero el panorama de amenazas se ha expandido en tres direcciones:

• El BEC es más convincente. Los atacantes ahora investigan la jerarquía de tu organización, los patrones de comunicación y las relaciones con proveedores antes de actuar. Un correo bien elaborado que parece venir del CEO solicitando una transferencia urgente a una cuenta nueva no se parece en nada a los intentos obvios de phishing de hace cinco años.

• Los deepfakes llegaron a finanzas. Audio y video generados por IA pueden imitar a ejecutivos en llamadas telefónicas e incluso videoconferencias. Un controller que sigue el procedimiento correcto y llama para verificar una solicitud sospechosa puede ser engañado si la voz al otro lado suena exactamente como la del CFO. El Informe de Fraude para Líderes Financieros 2026 de IFOL destaca los deepfakes como una de las amenazas emergentes más disruptivas para las operaciones financieras.

• El fraude con cheques sigue siendo desproporcionado. A pesar de la migración hacia pagos digitales, los cheques están involucrados en el 63% de los intentos o casos reales de fraude — con diferencia, el método de pago más atacado. Las tarjetas virtuales, en cambio, son objetivo en menos del 10% de los intentos. Aun así, muchas operaciones B2B siguen procesando una parte significativa de sus pagos con cheques.

¿Por Qué Fallan los Controles Estándar de AP?

La mayoría de los equipos financieros tiene controles implementados. El problema no es la falta de reglas — es que las reglas fueron diseñadas para un escenario de amenazas diferente.

Las cadenas de aprobación asumen confianza en la solicitud. Un requisito de doble firma no ayuda si la solicitud de pago en sí es fraudulenta. Cuando un atacante envía un correo convincente con datos correctos del proveedor y una razón plausible para cambiar la cuenta bancaria, el proceso de aprobación valida una solicitud de apariencia legítima en lugar de detectar el fraude.

La segregación de funciones protege contra internos, no externos. Separar quién inicia, aprueba y ejecuta pagos reduce el riesgo de fraude interna. Pero los ataques de BEC e impersonación vienen de fuera de la organización, evitando completamente la segregación interna.

La verificación manual no escala. Llamar para confirmar cada pago por encima de un umbral es eficaz en teoría. En la práctica, los equipos de AP que procesan cientos de transacciones semanales omiten la verificación en los picos de trabajo — exactamente cuando los atacantes programan sus intentos.

Solo el 22% de los líderes financieros dice sentirse “muy bien protegido” contra el fraude, según IFOL. La distancia entre tener controles y confiar en ellos es mayor de lo que la mayoría de las organizaciones admite.

Controles Que Realmente Reducen el Fraude en AP

La prevención efectiva del fraude combina múltiples capas de control para que ninguna falla aislada genere exposición.

• Verificación por canal independiente para cambios de pago. Cuando un proveedor solicita nuevos datos bancarios, confirma por un canal previamente validado — un teléfono del contrato original, no el que aparece en el correo. Este único paso bloquea la mayoría de las redirecciones de pago por BEC.

• Migra tu base de pagos lejos de los cheques. Cada cheque eliminado remueve el instrumento más vulnerable a fraude de tu proceso. Las transferencias electrónicas y tarjetas virtuales ofrecen controles nativos — límites de transacción, números de uso único y conciliación automática — que los cheques en papel no pueden igualar.

• Conciliación continua, no mensual. Cuando concilias pagos diaria o semanalmente, las discrepancias aparecen mientras el rastro está fresco. Un pago duplicado o una transacción no autorizada detectada al segundo día es recuperable. El mismo fraude descubierto en el cierre mensual puede no serlo.

• Invierte en capacitación que siga el ritmo. El 76% de los equipos financieros dice querer más capacitación sobre fraude. La brecha de formación es real — y es importante porque cada nuevo método de ataque (deepfakes, documentos generados por IA) crea una ventana donde tu equipo aún no lo reconoce. Ejercicios trimestrales con escenarios realistas son más efectivos que videos anuales de cumplimiento.

• Centraliza tu pista de auditoría. Sistemas dispersos significan evidencia dispersa. Cuando la iniciación, aprobación, ejecución y conciliación de pagos están en una sola plataforma, cada acción queda registrada y rastreable. Si algo sale mal, puedes reconstruir exactamente lo que pasó — y cuando los auditores pregunten, tienes la respuesta.

Preguntas Frecuentes

¿Cuál es el tipo más común de fraude en cuentas por pagar?

El compromiso de correo electrónico empresarial (BEC) es el vector de fraude externa más común en AP, afectando al 63% de las organizaciones según el AFP Payments Fraud and Control Survey. Entre los esquemas internos, el fraude de facturación — envío de facturas de proveedores ficticios o con montos inflados — es el más prevalente.

¿Cómo pueden los equipos financieros detectar fraude en AP a tiempo?

Pon atención a las señales de alerta: cambios repentinos en los datos bancarios de proveedores, números de factura duplicados entre diferentes proveedores, facturas con montos redondos o sin identificación fiscal, y pagos a proveedores sin rastro de orden de compra. La conciliación automática entre órdenes de compra, facturas y recibos detecta la mayoría de estos casos antes del pago.

¿Qué métodos de pago son menos vulnerables al fraude?

Las tarjetas virtuales presentan el menor riesgo de fraude entre los métodos de pago B2B comunes, siendo objetivo de menos del 10% de los intentos. Las transferencias electrónicas siguen en la lista. Los cheques son los más vulnerables, involucrados en el 63% de los casos de fraude en pagos. Migrar tu mezcla de pagos hacia métodos digitales reduce la exposición significativamente.

Cómo Tier2 Keel Fortalece los Controles de Pago

El problema de la pista de auditoría descrito arriba — aprobaciones dispersas, sistemas desconectados, reconstrucción de eventos después del hecho — es lo que Tier2 Keel elimina por diseño. Cada pago sigue un camino rastreable desde la solicitud de compra hasta la aprobación, facturación y liquidación dentro de un único sistema.

Cuando una factura de proveedor llega, se concilia con el contexto original de la compra. Cuando un pago es aprobado, el sistema registra quién lo autorizó, cuándo y con base en qué documentación. Cuando el pago se liquida, la conciliación ocurre automáticamente — no en el cierre mensual.

Esto no sustituye el criterio humano ni la capacitación. Pero asegura que tus controles operen sobre datos completos y centralizados, en lugar de hojas de cálculo y correos dispersos.

Conoce cómo funciona Keel o habla con nuestro equipo.

Controles robustos de AP no se tratan de agregar más pasos de aprobación. Se tratan de asegurar que tu equipo tenga la información correcta — verificada, centralizada y actualizada — antes de que el dinero salga.