Caso Koldo: auditoría, control interno y compliance (cinco fallos)

Cuando una investigación judicial sobre presuntas irregularidades en contratación pública alcanza la dimensión mediática del Caso Koldo —también conocido en los medios como caso Ábalos o caso mascarillas—, lo natural es que la conversación pública se centre en sus aspectos políticos y procesales. Sin embargo, detrás de cada caso de presunto fraude o irregularidad en la gestión de fondos públicos hay también una dimensión técnica que la profesión auditora no puede pasar por alto: la del control interno que falló, la documentación que no se exigió, la supervisión que no se hizo y el compliance que existía como marco formal pero no como práctica operativa.

Este artículo no emite juicio sobre la culpabilidad ni la responsabilidad jurídica de ninguna persona o entidad investigada. Se mantiene en el terreno técnico de la auditoría de cuentas, utilizando la información públicamente conocida sobre el caso como material formativo para examinar cinco patrones de fallo recurrentes en este tipo de contextos —patrones que la auditoría correctamente aplicada ayuda a prevenir, detectar o, cuando ya han ocurrido, documentar y trazar.

La presunción de inocencia es plena y la investigación judicial está en curso. Lo que sigue es exclusivamente análisis profesional.

Qué es el Caso Koldo: marco general en términos públicos#

El Caso Koldo es una causa judicial abierta en España relacionada con presuntas irregularidades en la adjudicación de contratos públicos durante la pandemia de COVID-19, vinculados principalmente a la compra de material sanitario —mascarillas, en particular—. La instrucción se desarrolla en el Juzgado Central de Instrucción número 6 de la Audiencia Nacional, con la participación de la Fiscalía Europea, y afecta a contratos celebrados por distintas administraciones públicas, entre ellas el Ministerio de Transportes.

La información publicada en medios oficiales y judiciales apunta a presuntas irregularidades tanto en la fase de adjudicación —tramitadas en muchos casos bajo el régimen de emergencia previsto en la Ley 9/2017 de Contratos del Sector Público— como en la posterior ejecución y supervisión de los contratos.

Lo relevante para el análisis profesional, sin entrar en su calificación penal ni en su atribución a personas concretas, son las condiciones operativas que un caso así pone en evidencia:

• Contratos adjudicados bajo el régimen de tramitación de emergencia del art. 120 de la Ley 9/2017, con procedimientos abreviados y documentación reducida.
• Posibles vínculos entre adjudicadores y adjudicatarios que en condiciones normales habrían exigido un análisis específico de partes vinculadas y conflicto de interés.
• Documentación parcial o ausente sobre la justificación técnica y económica de las elecciones realizadas.
• Supervisión limitada del cumplimiento contractual una vez adjudicados los servicios.
• Ausencia, en muchos casos, de mecanismos de compliance efectivos que hubieran activado alertas internas.

Sobre estas condiciones podemos hacer análisis técnico sin emitir juicio jurídico.

Por qué la auditoría financiera importa en contextos como este#

La auditoría de cuentas no investiga delitos. La auditoría no juzga a personas. La auditoría tampoco sustituye la función inspectora de organismos como el Tribunal de Cuentas, la Intervención General de la Administración del Estado (IGAE) o el ICAC.

Pero la auditoría financiera —cuando se realiza con rigor conforme a las NIA-ES— es uno de los mecanismos estructurales que dificulta que los fallos de control interno permanezcan invisibles. La razón es sencilla: el auditor independiente revisa, con escepticismo profesional, la coherencia entre lo que la organización dice que hace y lo que efectivamente queda documentado en sus registros.

Cuando esa revisión se hace bien, los cinco patrones que veremos a continuación dejan huella detectable. Cuando no se hace —o se hace formalmente sin cumplir el espíritu de las NIA-ES—, los mismos patrones pueden persistir durante años hasta que una investigación externa los saca a la superficie.

Los cinco fallos de control interno que el Caso Koldo ilustra#

Fallo 1 · Documentación insuficiente en contratos de emergencia (Ley 9/2017)#

El primer patrón es el más visible. La tramitación de emergencia prevista en el art. 120 de la Ley 9/2017 de Contratos del Sector Público permite agilizar la contratación pública cuando concurren circunstancias excepcionales —y la pandemia de COVID-19, indiscutiblemente, lo era—. Pero "agilizar" no significa "documentar menos": significa documentar lo justo y necesario en menos tiempo.

En la práctica, el patrón observable en muchos casos similares es que la urgencia se traduce en:

• Memorias justificativas escuetas que no acreditan adecuadamente la necesidad real ni la proporcionalidad del importe.
• Ausencia de comparativas mínimas entre potenciales proveedores, incluso en formato informal y rápido.
• Documentación contractual posterior incompleta: contratos firmados con cláusulas estándar que no reflejan las particularidades del encargo.
• Trazabilidad pobre del proceso de decisión: quién propuso al proveedor, quién aprobó, en qué momento y con qué información.

Desde la perspectiva auditora, este patrón conecta directamente con la NIA-ES 230 sobre documentación de auditoría. La norma establece la regla del "tercero competente": un auditor ajeno al encargo debe poder reconstruir, leyendo solo la documentación, el procedimiento aplicado y las decisiones tomadas. Esa misma regla, llevada al ámbito de la contratación pública, exige que un revisor externo —ya sea auditor de la Intervención, del Tribunal de Cuentas, del Ministerio o de un encargo de auditoría independiente— pueda reconstruir el proceso decisorio del contrato leyendo solo el expediente.

Cuando la documentación no permite esa reconstrucción, la consecuencia técnica es objetiva: el expediente es insuficiente, independientemente de si las decisiones de fondo fueron correctas o no. Y un auditor riguroso lo señala como deficiencia de documentación, sin necesidad de emitir juicio sobre los hechos.

Fallo 2 · Ausencia de revisión independiente y segregación de funciones#

El segundo patrón es estructural. En toda organización con sistemas de control interno maduros, las decisiones que comprometen recursos significativos pasan por al menos dos pares de ojos independientes: quien propone, quien aprueba y, en muchos casos, quien revisa antes de la firma final. Este principio, conocido como segregación de funciones, es una de las pilares más antiguos del control interno y aparece codificado tanto en el marco COSO Internal Control como en los manuales de control financiero del sector público.

En contextos de tramitación de emergencia, ese principio es el primero que se debilita. La urgencia justifica saltar pasos, los aprobadores firman sobre la marcha, y los revisores que en condiciones normales habrían cuestionado el importe o el proveedor no llegan a intervenir. El resultado es que decisiones de millones de euros pueden quedar concentradas en un único punto de juicio profesional, sin contraste independiente.

Desde la perspectiva auditora, este patrón es relevante por dos vías:

Primera, por la NIA-ES 315 sobre identificación y valoración de los riesgos. La versión revisada de la norma exige al auditor evaluar el entorno de control y los procesos de la entidad, incluyendo los controles internos sobre la información financiera. Cuando el auditor identifica que los controles clave de segregación de funciones no operaron en un período relevante, debe ajustar su enfoque y aplicar procedimientos sustantivos más extensivos.

Segunda, por la NIA-ES 240 sobre fraude en auditoría. La norma incluye, entre los factores de riesgo de fraude por parte de la dirección, la posibilidad de que la dirección anule los controles establecidos (el llamado management override). Una tramitación de emergencia que en la práctica se traduce en concentración decisional encaja exactamente en ese factor de riesgo. El auditor profesional no presume fraude, pero sí refuerza su escepticismo y diseña procedimientos específicos para abordar el riesgo.

Fallo 3 · Supervisión débil en la ejecución del contrato#

El tercer patrón es probablemente el más infravalorado. La adjudicación de un contrato es solo el principio: lo realmente importante es que el servicio o producto contratado se ejecute conforme a las condiciones pactadas, con calidad y en plazo. Y esa fase —la supervisión de la ejecución— suele recibir muchísima menos atención que la adjudicación.

En contratos de emergencia durante la pandemia, los problemas operativos más frecuentemente observados según la información publicada incluyen:

• Conformidades emitidas sin verificación real de la prestación efectiva del servicio o de la entrega del producto.
• Calidades inferiores a las pactadas que no quedaron reflejadas en actas de recepción.
• Cantidades entregadas distintas a las facturadas, sin reconciliación documentada.
• Plazos incumplidos que no activaron las penalizaciones contractualmente previstas.
• Ausencia de informes de seguimiento durante la vigencia del contrato.

Desde la perspectiva auditora, esto conecta con la NIA-ES 500 sobre evidencia de auditoría y con la NIA-ES 330 sobre respuestas a los riesgos valorados. Cuando una entidad mantiene contratos de cuantía significativa cuya ejecución no está adecuadamente documentada, el auditor debe aplicar procedimientos sustantivos específicos: verificar entregas, contrastar conformidades con evidencia externa cuando sea posible, evaluar la razonabilidad de los importes facturados respecto a precios de mercado. La trazabilidad de la ejecución es uno de los puntos donde el auditor tiene capacidad real de levantar bandera.

Fallo 4 · Verificación insuficiente de titularidad real y partes vinculadas#

El cuarto patrón es el que más conexión tiene con la dimensión penal de casos similares, y por tanto el que conviene tratar con más cuidado. En contratos públicos, una de las verificaciones más importantes es la identificación de la titularidad real de las entidades adjudicatarias —es decir, las personas físicas que en última instancia controlan o se benefician de la empresa— y la detección de posibles vínculos entre adjudicadores y adjudicatarios que pudieran configurar conflicto de interés.

La regulación española lleva años reforzando estas obligaciones. La Ley 10/2010 de prevención del blanqueo de capitales, modificada por el RD 609/2023, exige identificación del titular real en operaciones relevantes. La Ley 9/2017 de Contratos del Sector Público obliga a verificar la ausencia de prohibiciones de contratar y a aplicar criterios de transparencia y no discriminación. Y los marcos de compliance modernos —entre ellos la UNE 19601 sobre sistemas de gestión de compliance penal y la ISO 37001 sobre sistemas de gestión antisoborno— incluyen específicamente la prevención del conflicto de interés como obligación organizacional.

Cuando esos controles fallan, los patrones observables incluyen:

• Adjudicaciones a entidades de constitución reciente, sin trayectoria previa demostrable.
• Empresas con estructura societaria opaca o con titulares formales que difícilmente coinciden con quienes operan de hecho.
• Vínculos personales o profesionales no declarados entre el adjudicador y representantes del adjudicatario.
• Pagos posteriores entre la empresa adjudicataria y terceras partes con conexión potencial al adjudicador.

Desde la perspectiva auditora, este patrón conecta con la NIA-ES 550 sobre partes vinculadas. La norma reconoce explícitamente el riesgo inherente: las operaciones con partes vinculadas pueden no realizarse en condiciones de mercado y son una vía habitual de desvío de fondos. El auditor profesional no presume relaciones encubiertas, pero sí aplica procedimientos específicos: revisión de actas, contraste de registros mercantiles, búsqueda activa de relaciones no declaradas mediante fuentes externas, y presunción de riesgo significativo cuando las operaciones se realizan fuera del curso normal del negocio.

En auditoría de sector público, las herramientas son distintas pero la lógica es la misma: el auditor cruza información de adjudicaciones con registros mercantiles, con la base de datos del titular real del Colegio de Registradores, con las declaraciones de bienes e intereses de los responsables públicos, y con cualquier otra fuente que permita detectar incongruencias.

Fallo 5 · Compliance no operativo: marcos formales sin aplicación práctica#

El quinto patrón es el más estructural y, probablemente, el más extendido. Muchas organizaciones —públicas y privadas— disponen formalmente de códigos éticos, canales de denuncia interna, manuales de compliance, políticas anticorrupción y certificaciones varias. Sobre el papel, los controles existen. En la práctica, el funcionamiento operativo de esos marcos puede ser muy distinto de lo que el documento describe.

Los síntomas típicos del "compliance no operativo" incluyen:

• Canales de denuncia que existen en el organigrama pero que no han recibido denuncias en años, o cuyas denuncias no se investigan adecuadamente.
• Comités de ética que se reúnen formalmente pero sin agenda real.
• Códigos éticos que el personal no conoce con detalle ni recibe formación periódica para aplicar.
• Procedimientos anti-fraude que están redactados pero que no se ejercen mediante pruebas o controles concretos.
• Auditorías internas de compliance que se limitan a verificar la existencia de los marcos formales y no su efectividad operativa.

Desde la perspectiva auditora, este patrón conecta con la NIA-ES 250 sobre cumplimiento de las disposiciones legales y reglamentarias y con la NIA-ES 260 sobre comunicación con los responsables del gobierno de la entidad. La primera obliga al auditor a obtener comprensión del marco normativo aplicable a la entidad y de los procedimientos que tiene establecidos para asegurar su cumplimiento. La segunda obliga a comunicar a la gobernanza las deficiencias significativas detectadas en esos procedimientos.

El auditor profesional no es responsable de detectar todo incumplimiento normativo. Pero sí es responsable de evaluar si los controles de compliance existen, si están adecuadamente diseñados y si operan efectivamente. Cuando detecta que un marco formal de compliance no se traduce en práctica operativa, debe comunicarlo a la dirección y al órgano de gobierno y, si la deficiencia es material y sistemática, considerar su impacto en el informe.

Lecciones aplicables al sector privado mid-market#

Aunque el Caso Koldo se desarrolla en el ámbito de la contratación pública, los cinco patrones descritos son completamente trasladables al sector privado. Cualquier empresa mid-market que adjudica contratos significativos —ya sea de servicios, de obras, de suministros o de tecnología— enfrenta los mismos riesgos estructurales:

• Documentación insuficiente cuando la urgencia presiona los procesos.
• Concentración decisional que elimina la independencia del control.
• Supervisión débil durante la ejecución contractual.
• Verificación insuficiente de las contrapartes y de sus titulares reales.
• Compliance que existe en papel pero que no opera realmente.

La auditoría de cuentas anuales no es la herramienta principal contra el fraude empresarial —para eso existen funciones específicas como la auditoría interna, los marcos de compliance UNE 19601 / ISO 37001 y las inspecciones tributarias y regulatorias—. Pero sí es uno de los mecanismos estructurales que dificulta que los fallos persistan invisibles, especialmente cuando se aplican con rigor las NIA-ES citadas en este artículo.

En empresas mid-market españolas, esa función adquiere especial relevancia porque el órgano de auditoría interna suele ser limitado o inexistente, y el auditor externo se convierte por la fuerza en uno de los pocos revisores realmente independientes que la entidad enfrenta cada año.

Por qué importa la obligación legal de auditoría#

La obligación de someter las cuentas anuales a auditoría externa está regulada en España por el artículo 263 de la Ley de Sociedades de Capital, complementado por la Ley 22/2015 de Auditoría de Cuentas. Como hemos analizado en el pilar correspondiente del blog, las sociedades que superan dos de los tres umbrales —activo total superior a 2.850.000 €, cifra anual de negocios superior a 5.700.000 € y plantilla media superior a 50 empleados— quedan obligadas a auditarse durante dos ejercicios consecutivos.

Esta obligación legal no es un trámite: es un mecanismo estructural de protección frente a los cinco fallos descritos. Cuando una entidad sabe que sus cuentas serán revisadas anualmente por un auditor externo independiente que aplicará las NIA-ES con rigor, los incentivos para mantener documentación cuidadosa, segregación de funciones operativa, supervisión efectiva de contratos y compliance funcional son objetivamente mayores.

Cuando esa obligación no existe —o cuando, existiendo, el auditor no aplica las NIA-ES con la profundidad y el escepticismo que la norma exige—, los patrones de fallo descritos pueden persistir durante períodos prolongados. Los casos que llegan a los titulares son, casi siempre, casos en los que durante años nadie hizo las preguntas técnicas que la auditoría rigurosa formula.

El siguiente paso#

El Caso Koldo, en su dimensión técnica, es una oportunidad formativa para que cualquier auditor en activo —y cualquier socio de firma mid-market— se haga una pregunta sencilla:

En los encargos que firmo este año, ¿estoy aplicando las NIA-ES con la profundidad necesaria para que, si en mi cliente hubiera un patrón análogo a alguno de los cinco descritos, mi trabajo lo detectara?

La respuesta honesta a esa pregunta es lo que separa la auditoría que cumple expediente de la auditoría que cumple su función.

Para profundizar en los marcos técnicos citados a lo largo de este análisis:

• Hub completo de NIA-ES — catálogo de las 36 normas vigentes en España, con resumen y aspectos clave por cada una.
• Auditoría de cuentas en España: cuándo es obligatoria — el marco legal del art. 263 LSC y la Ley 22/2015.
• Normas Internacionales de Auditoría NIA-ES: guía completa — el catálogo técnico de las normas que rigen el trabajo del auditor.
• Cinco síntomas de la auditoría española rota — el contexto estructural en el que la profesión trabaja hoy.

---

Este artículo se ha redactado con el objetivo exclusivo de proporcionar reflexión técnica útil para profesionales de la auditoría. No constituye opinión jurídica ni política, ni emite juicio alguno sobre la culpabilidad o responsabilidad de personas o entidades concretas en investigaciones judiciales en curso. La presunción de inocencia es plena. Cualquier información sobre el Caso Koldo —también conocido como caso Ábalos o caso mascarillas— citada en el texto procede de fuentes públicas y oficiales y se utiliza exclusivamente como contexto para ilustrar principios técnicos generales de la profesión auditora.