Summary

  • El GAO revisó 18 grandes programas de tecnología para las funciones de gestión del Department of Defense (DOD). Sus gastos previstos sumaban 10.300 millones de dólares en los ejercicios fiscales 2024–2026. Siete programas respondieron que su personal no había recibido, o desconocía, formación durante los dos años anteriores para identificar y denunciar fraude o manipulación en sistemas informáticos.
  • Once programas informaron de formación recibida o conocida. Diez dijeron evaluar sus riesgos de fraude; cinco dijeron que no lo hacían y tres ignoraban si se hacía. El DOD exige formación general de sensibilización, pero sus responsables dijeron que no exige una enseñanza específica sobre fraude en sistemas de TI.
  • El GAO formuló una nueva recomendación: el director de informática debe trabajar con el Comptroller, responsable designado para el riesgo de fraude en todo el departamento desde julio de 2020, para llevar la preparación al programa. El rastro útil es local: riesgo, formación, personal alcanzado y destinatario de una alerta.

El curso que cabe en una estadística

Las organizaciones grandes aman las cifras redondas de formación. Un curso se asigna, el empleado hace clic, el tablero registra que se terminó. Ese mecanismo sirve para distribuir una norma. Una anomalía en un sistema de gestión no se presenta con el nombre del módulo. Puede aparecer como un campo cambiado, un acceso fuera de la rutina o un trámite que el software acepta y el proceso real debería cuestionar. La persona que lo ve necesita ejemplos de su propio trabajo y un camino para avisar.

El informe del GAO publicado el 28 de septiembre de 2026 encontró una distancia concreta entre el centro y los programas. Entre dieciocho grandes inversiones informáticas de gestión del DOD, siete oficinas respondieron que el personal no recibió o no conocía formación para reconocer y denunciar señales de fraude o manipulación en sus sistemas durante los dos años previos. Once dieron una respuesta favorable. El auditor examinó las contestaciones con referencia a abril de 2026. Son respuestas de programas seleccionados; la cuestión de gobierno es que la instrucción operativa no se hizo visible allí donde debía utilizarse.

El tamaño de la cartera agrava el problema. Los sistemas apoyan servicios sanitarios, personal, cuentas, logística y contratos. La oficina del director de informática del DOD comunicó un plan de gasto de 10.300 millones de dólares para esos dieciocho programas a lo largo de los ejercicios 2024 a 2026. Cuatro absorbían la mitad de lo previsto. La cifra describe una obligación de gestión de tres años. Una clase genérica puede estar impecablemente registrada mientras la capacidad de detectar una anomalía en un gran programa depende de que alguien haya preparado ejemplos propios de ese programa.

La responsabilidad se partió antes de llegar al empleado

El DOD explicó al GAO que la Office of the Under Secretary of Defense (Comptroller) es la entidad designada para supervisar el riesgo de fraude del departamento desde julio de 2020. También citó una formación general obligatoria y sus orientaciones para certificar sistemas de gestión. Así se dibuja una arquitectura reconocible: una autoridad financiera fija la política, la oficina de informática gobierna los sistemas y cada programa conoce sus transacciones, usuarios y excepciones.

La unión entre esas piezas es el punto débil. Según los responsables del DOD, no existe una obligación actual de formar específicamente al personal para reconocer y denunciar fraude en sistemas informáticos. El curso general puede explicar qué es el fraude. La persona que administra un sistema necesita reconocer cómo una señal se produce en su entorno funcional, distinguirla de un error ordinario y encontrar a quien pueda investigarla. Ese trabajo requiere una decisión conjunta sobre contenido, dueño y entrega.

Otra pregunta del cuestionario revela el mismo fallo en miniatura. Diez programas dijeron que evalúan el riesgo de fraude que afrontan. Cinco dijeron que no y tres no sabían si se hacía. Los tres desconocimientos no son una nota al pie decorativa: si los responsables consultados no pueden localizar la evaluación, será difícil usarla para enseñar a su personal qué buscar. Una política puede existir en la sede y seguir siendo invisible para el operador de un sistema.

El marco de riesgo de fraude que aplica el GAO pide formación inicial y continua, señales ajustadas a la función y comprensión de las actividades de evaluación. La diferencia entre controles antifraude y controles financieros comunes importa en un programa de gestión: una conciliación puede cuadrar y aun así dejar preguntas sobre quién alteró una autorización o cómo llegó un dato a la cuenta. El auditor centra su nueva recomendación en esa capacidad concreta del personal, con los controles y las responsabilidades que la sostienen.

Dos oficinas firman; dieciocho programas ejecutan

La única recomendación nueva de esta edición encarga al secretario de Defensa ordenar al director de informática que, en colaboración con el Comptroller, impulse y mantenga una práctica antifraude en los grandes programas. La formación debe elevar la conciencia del riesgo, enseñar a reconocerlo en ámbitos funcionales pertinentes y dar a conocer las actividades de evaluación. Seis recomendaciones anteriores siguen pendientes en otros frentes de la serie anual y tienen su propio seguimiento.

El DOD aceptó la nueva recomendación solo en parte. Su respuesta subrayó el papel del Comptroller y las exigencias financieras integradas en la guía anual de certificación. El GAO insistió en la coordinación para que las plantillas de los grandes sistemas reciban formación relevante y sepan que existe. La disputa tiene poco de semántica. Una oficina puede estar oficialmente encargada y, al mismo tiempo, no haber producido la prueba de entrega en cada programa.

El mismo informe recoge vacíos en otros controles: ocho de los diez programas que desarrollaban software activamente no demostraron las métricas y herramientas Agile exigidas; seis de dieciocho carecían de plan para aplicar zero trust antes del plazo de 2027 del DOD; tres no tenían estrategia de ciberseguridad aprobada. Son hallazgos separados. Su utilidad aquí consiste en mostrar que una dirección central no obtiene visibilidad de la ejecución con solo promulgarla.

Falta una prueba programática: qué riesgos de fraude evaluó cada sistema, qué personal recibió ejemplos adecuados, quién comprobó la comprensión y dónde termina una alerta. Un seguimiento del DOD o del GAO que encuentre esa cadena en los dieciocho programas cambiaría el juicio. Por ahora, siete respuestas muestran que la política general perdió fuerza en el trayecto hasta el puesto de trabajo.

Fuentes