Eres Mariela Cárcamo, directora de Auditoría Interna de Seguros del Caribe, una aseguradora que cotiza en bolsa con sede en San Salvador. Tu equipo acaba de encontrar siete cuentas de administrador que nadie autorizó en el sistema central de pólizas. El viernes tienes que decirle al comité de auditoría del consejo qué área de los controles de tecnología revisas primero.
La situación
Es lunes 8 de junio de 2026, 7:40 de la mañana. Seguros del Caribe vende seguros de propiedad, responsabilidad civil y vida en El Salvador, Honduras, Guatemala y Costa Rica. En su sistema de pólizas viven unas 450.000 pólizas, US$850 millones de prima en vigor y una exposición a reclamos de unos US$12.000 millones. Con esos mismos datos, el área actuarial calculó las reservas para pérdidas de cierre de 2025: US$450 millones, ya publicadas en los estados financieros de marzo.
Las siete cuentas, con nombres como «admin2» o «admin5», pueden ver y cambiar pólizas, primas, datos de clientes y reclamos, y nada de lo que hacen queda en la pista de auditoría. Al menos una existe desde hace más de un año. La revisión de mayo encontró fallas en las cuatro áreas de los controles generales de tecnología: el control de acceso, la administración de sistemas, la pista de auditoría y los respaldos, que se hacen a diario pero nunca se han probado.
El comité aprobó una bolsa de US$500.000 para todo el proceso: las horas de auditoría, a unos US$500 la hora, la investigación de los datos y la remediación. El director de Tecnología, Óscar Lemus, cotizó un plan de seis meses por casi esa misma cifra y quiere empezar ya. El director financiero, Rodrigo Menjívar, firmó los estados de 2025 y no piensa reexpresar nada «por una sospecha». El presidente del comité, Ernesto Valle, cree que el regulador se va a enterar igual. Tu equipo son nueve personas, dos de ellas especialistas en sistemas, y respondes al comité, no a la gerencia.