La empresa que parecía representar el futuro de Alemania

Alemania era reconocida por su ingeniería, sus industrias sólidas y su rigor de control, y buscaba un símbolo digital capaz de competir con los gigantes estadounidenses. Wirecard parecía serlo. Fundada a finales de los años 90, procesaba pagos electrónicos para comercios en un mundo que compraba cada vez más por internet. Sus ingresos crecían, su expansión internacional llamaba la atención y en septiembre de 2018 entró al DAX. En ciertos momentos su valoración superó los €20.000 millones.

Pero mientras el mercado celebraba, aparecían preguntas incómodas: ¿de dónde venían realmente los ingresos?, ¿quién verificaba las operaciones hechas con intermediarios?, ¿dónde estaba el dinero que decía tener?

El negocio que pocos comprendían

El procesamiento de pagos involucra bancos, comercios, redes de tarjetas, intermediarios y varias jurisdicciones. Esa complejidad no es en sí una irregularidad, pero cuanto más complejo es un modelo, mayor debe ser la capacidad de explicar, documentar y verificar. Wirecard usaba socios externos para procesar ciertas transacciones (third-party acquiring), y una parte relevante de sus resultados dependía de información de terceros: ¿cómo se comprobaban las transacciones?, ¿había contratos y registros suficientes?, ¿los saldos estaban confirmados por entidades independientes?

Las primeras señales de advertencia

Los problemas no empezaron en 2020. Durante años, periodistas, analistas e inversionistas cuestionaron aspectos de sus operaciones y estados financieros. Una de las investigaciones más importantes fue la del Financial Times, con Dan McCrum y su equipo, sobre prácticas contables, filiales y socios. La respuesta de Wirecard fue a menudo confrontativa: rechazó las acusaciones y defendió sus operaciones, y parte del debate se desplazó hacia quienes cuestionaban a la empresa en lugar de determinar si las dudas tenían fundamento.

Cuando una organización recibe advertencias, debe analizarlas objetivamente, vengan de un empleado, un cliente, un periodista o un inversionista. La pregunta no es solo quién acusa, sino si hay evidencia que permita confirmarlo o descartarlo. Desacreditar una advertencia no demuestra que el problema no exista.

Cuando los auditores encontraron respuestas insuficientes

En octubre de 2019, Wirecard encargó a KPMG una investigación especial e independiente. Era una oportunidad de recuperar la confianza, pero el informe de abril de 2020 señaló limitaciones por falta de documentación y no pudo verificar satisfactoriamente ciertos ingresos del negocio con socios externos de ejercicios anteriores. Existen tres situaciones distintas:

• Hay evidencia suficiente para concluir que la operación es correcta.
• Hay evidencia suficiente para concluir que existe una irregularidad.
• No hay evidencia suficiente para concluir nada.

La tercera no puede confundirse con la primera: la ausencia de pruebas concluyentes de fraude no prueba que todo funcione bien.

Junio de 2020: el dinero que nadie podía encontrar

El 18 de junio, Wirecard anunció que su auditor externo, EY, no había podido obtener evidencia suficiente de la existencia de unos €1.900 millones registrados como efectivo en cuentas fiduciarias, alrededor de una cuarta parte del balance. No era una diferencia de conciliación menor. Además, había indicios de que ciertas confirmaciones bancarias que respaldaban esos saldos eran falsas. Las acciones se desplomaron, los estados financieros se volvieron a retrasar y los acreedores empezaron a evaluar consecuencias.

El 22 de junio la propia empresa reconoció que probablemente ese dinero no existía. Al principio parecía dinero imposible de localizar; después, saldo bancario que probablemente nunca existió. No era dinero perdido: era dinero cuya existencia contable no podía sostenerse.

Los inversionistas valoran la empresa con esa información, los bancos la usan para evaluar su capacidad y los directivos deciden con ella. Cuando nadie puede demostrar que el efectivo existe, deja de ser una cuestión contable y se vuelve un problema de confianza institucional. Para un auditor, no basta recibir un documento: hay que evaluar su origen, autenticidad, integridad y consistencia. Un documento oficial puede ser falso, una cifra en una hoja de cálculo puede no corresponder a una operación real y una conciliación aparentemente perfecta puede basarse en datos incorrectos.

¿Cómo pudo ocurrir algo así?

No se reduce a una persona ni a un error. La dirección debía preparar información confiable y mantener controles internos adecuados; el órgano de supervisión, vigilar la gestión y cuestionar las operaciones relevantes; los auditores, obtener evidencia suficiente y apropiada; los reguladores, proteger la integridad del mercado; y los inversionistas, evaluar críticamente la información. Cuando varios mecanismos fallan en detectar o resolver a tiempo problemas relevantes, el riesgo se acumula durante años.

Tener departamentos de cumplimiento, procedimientos, revisiones y auditorías no garantiza eficacia. Un sistema de control no se mide por la cantidad de procedimientos, sino por su capacidad de detectar, comunicar y corregir problemas reales.

La auditoría y el peligro de confiar demasiado

EY había auditado las cuentas durante años, y tras el colapso surgieron preguntas sobre los procedimientos y la evidencia obtenida en ejercicios anteriores. Una auditoría de estados financieros da seguridad razonable, no absoluta; no garantiza que nunca haya fraude, pero tampoco elimina la obligación de aplicar procedimientos adecuados, mantener el escepticismo profesional y responder a los riesgos identificados. Ante grandes saldos de efectivo, confirmarlos es fundamental: una confirmación recibida directamente de un banco independiente, con un proceso bien controlado, suele ser más confiable que un documento entregado por la propia empresa auditada. El escepticismo profesional no es desconfiar de todos, sino no aceptar afirmaciones importantes sin evidencia suficiente.

Tres normas para leer el caso

Denunciantes, periodismo y reputación

Las investigaciones del Financial Times y la información de personas con conocimiento interno mantuvieron la atención sobre registros que merecían explicación. En muchas organizaciones las primeras señales no llegan por una auditoría programada, sino por una denuncia, una reclamación, una discrepancia documental o una investigación externa. Una organización madura no asume que quien avisa actúa contra ella; escuchar no es aceptar cualquier acusación, sino investigarla con imparcialidad.

Wirecard era alemana, estaba en el DAX, tenía presencia internacional y un sector en alto crecimiento. Todo eso generaba confianza, pero también un efecto peligroso: cuanto más prestigiosa parece una organización, más difícil es aceptar que tenga problemas de fondo. Los inversionistas toman las críticas por ataques, los directivos las ven como amenaza al crecimiento y los empleados temen cuestionar. Esto pasa también en pequeñas y medianas empresas. Una empresa reconocida necesita controles, un proveedor histórico debe ser evaluado, un directivo exitoso debe rendir cuentas y un informe impecable debe sustentarse en evidencia.

¿Qué debería hacer un auditor?

Imagine una organización con excelentes indicadores y una dirección que asegura que todo funciona, pero donde ciertas transacciones no se relacionan con documentación verificable, los registros vienen de una sola fuente, los responsables dan explicaciones distintas y algunos documentos no pueden confirmarse de forma independiente. El auditor no debe acusar de inmediato de fraude ni aceptar las explicaciones sin análisis: debe ampliar verificaciones cuando corresponda, evaluar la importancia de las inconsistencias, documentar las limitaciones, pedir aclaraciones y comunicar resultados según el alcance, los criterios y las responsabilidades de la auditoría. Si no hay evidencia suficiente, no debe afirmar que comprobó lo que no pudo verificar.

Tener controles no es controlar

El colapso provocó un debate profundo sobre el sistema alemán de supervisión financiera y revisiones sobre la vigilancia de la información corporativa, la responsabilidad de los auditores y la capacidad de las autoridades de responder a señales de irregularidad. El Parlamento Europeo analizó sus implicaciones. La confianza pública depende de la eficacia de varias instituciones, es difícil de construir, se pierde con rapidez y recuperarla exige cambios verificables.

Muchas organizaciones confunden la existencia de controles con su eficacia. Un procedimiento de compras no garantiza adquisiciones transparentes, una política de ética no demuestra decisiones íntegras, las auditorías periódicas no aseguran que se hayan identificado todos los riesgos y un sistema informático sofisticado no asegura que los datos sean correctos. Los controles deben diseñarse bien, aplicarse, supervisarse y, cuando haga falta, comprobarse de forma independiente. La pregunta clave de un auditor: ¿cómo demuestra la organización que este control es eficaz?

La lección de Mundo Calidad

Wirecard reunía crecimiento, tecnología, inversionistas, reconocimiento internacional, presencia bursátil, prestigio y estados financieros de extraordinaria fortaleza. Pero el 22 de junio de 2020 admitió que probablemente no existían unos €1.900 millones registrados como saldos bancarios, y tres días después pidió la insolvencia. La lección trasciende lo financiero: una organización no es confiable porque sus informes digan que todo está bien, sino cuando puede demostrarlo.

Para los auditores, escepticismo profesional. Para calidad, registros que representen fielmente procesos y resultados. Para cumplimiento, evaluar riesgos y relaciones con terceros. Para la alta dirección, que el crecimiento nunca esté por encima de la integridad. Para los inversionistas, que una empresa admirada también puede tener riesgos difíciles de ver. Durante años hubo señales que merecían examinarse con rigor. La pregunta es incómoda pero necesaria: ¿cuántas organizaciones toman decisiones importantes basadas en información que nadie ha verificado lo suficiente?

Mundo Calidad — Donde las historias empresariales se convierten en lecciones de gestión, auditoría y mejora continua.