Plan antifraude: controles, conflictos y evidencia

Plan antifraude: qué es y a quién exige realmente

El Plan de Medidas Antifraude es el documento con el que una entidad pública identifica sus riesgos de fraude, corrupción y conflicto de intereses, y fija los controles para mitigarlos. Es una herramienta de integridad institucional cada vez más extendida, pero conviene empezar con precisión jurídica: no existe, hoy, una obligación estatal general que exija un plan antifraude a todo el sector público español.

La exigibilidad actual tiene fuentes concretas y delimitadas:

• Entidades que ejecutan fondos del Plan de Recuperación, Transformación y Resiliencia (PRTR): la Orden HFP/1030/2021 (art. 6.1) obliga a las entidades decisoras y ejecutoras que participan en la ejecución del PRTR a disponer de un Plan de Medidas Antifraude. La Orden HFP/55/2023 desarrolla el marco y la Declaración de Ausencia de Conflicto de Intereses (DACI) asociada a la gestión de estos fondos.
• Normativa autonómica: algunas comunidades autónomas han establecido obligaciones propias; es el caso de la Ley 1/2022 de la Generalitat Valenciana (Título III), que exige planes de medidas antifraude en su ámbito.
• Marco en tramitación: el Anteproyecto de Ley Orgánica de Integridad Pública (aprobado por el Consejo de Ministros el 17-2-2026) se encuentra en tramitación y, de aprobarse, generalizaría el marco de integridad. A la fecha de revisión de esta guía no es ley vigente, por lo que no debe tratarse como una obligación ya nacida.

En síntesis: los planes antifraude son exigibles a las entidades que ejecutan fondos del PRTR y por la normativa de algunas comunidades autónomas; para el resto del sector público son, de momento, una práctica de buen gobierno que anticipa un marco en tramitación.

Las piezas de un plan antifraude sólido

Aunque la obligación no sea general, el diseño de un plan útil sigue una arquitectura reconocible. Tres ejes la sostienen: controles, gestión de conflictos de intereses y evidencia.

1. Controles: del mapa de riesgos al circuito de decisión

El punto de partida es un mapa de riesgos de fraude propio, no genérico: contratación, subvenciones, gestión de fondos, nóminas, patrimonio, relación con proveedores. Para cada riesgo identificado, el plan define:

• Controles preventivos: segregación de funciones, dobles firmas, autorizaciones escalonadas, registro de decisiones.
• Controles detectivos: revisiones aleatorias, alertas sobre operaciones atípicas, cruces de información.
• Responsables y frecuencia: quién ejecuta cada control, cada cuánto y con qué registro.

Un control sin responsable ni periodicidad definida no es un control: es una intención.

La granularidad importa. «Supervisar la contratación» no es un control ejecutable; «doble firma en toda contratación superior a determinado umbral, con registro de las autorizaciones y revisión semestral de una muestra de expedientes» sí lo es. Cada control debe poder responder a cuatro preguntas: qué riesgo mitiga, quién lo ejecuta, con qué frecuencia y dónde queda registrada su ejecución.

2. Conflictos de intereses: DACI y MINERVA

La gestión de conflictos de intereses es el núcleo más sensible del plan:

• DACI (Declaración de Ausencia de Conflicto de Intereses): en el ámbito del PRTR, la Orden HFP/55/2023 desarrolla la obligación de que las personas que intervienen en la gestión y ejecución de los fondos declaren la ausencia de conflicto. En el ámbito estatal general, la Ley 3/2015 (arts. 16-18) regula las declaraciones de actividades y de bienes y derechos patrimoniales de los altos cargos ante la Oficina de Conflictos de Intereses.
• MINERVA: herramienta de análisis automatizado del riesgo de conflicto de intereses utilizada en el sistema de gestión del PRTR (Ministerio de Hacienda y Función Pública). El anteproyecto en tramitación prevé extender su uso a todo el gasto del sector público estatal, pero esa extensión aún no es vigente.

En el diseño del plan conviene fijar: quién debe declarar, cuándo (al inicio y ante cada operación concreta), dónde se archivan las declaraciones y qué procedimiento sigue la entidad cuando alguien declara un conflicto (abstención, sustitución, registro de la decisión).

Véase nuestra página sobre conflictos de interés, DACI y MINERVA.

3. Evidencia: el plan debe ser demostrable

Un plan antifraude se evalúa por su rastro: auditorías de los fondos europeos, intervención, tribunales de cuentas, inspecciones. El sistema de evidencia mínimo incluye:

• Mapa de riesgos fechado y sus revisiones.
• Registros de ejecución de controles (quién, cuándo, resultado, incidencias).
• Declaraciones de ausencia de conflicto archivadas y vinculadas a las operaciones.
• Actas y decisiones del órgano de seguimiento del plan.
• Medidas correctoras adoptadas cuando un control detecta una incidencia.

La pregunta de contraste es siempre la misma: si mañana un auditor pide cómo se controló una contratación concreta, ¿puede la entidad enseñarlo sin reconstruirlo de memoria?

La evidencia debe generarse como subproducto del trabajo ordinario, no como una carga añadida: si ejecutar un control ya produce su registro de forma natural (una firma, un asiento, un acta), el sistema se mantiene solo; si la evidencia exige un esfuerzo aparte, acabará no generándose.

El canal interno de información como pieza de integridad

La detección de fraude depende en gran parte de las alertas internas. Las entidades del sector público están además sujetas a la Ley 2/2023, que exige un sistema interno de información (canal de denuncias) en todo el sector público. Integrar el canal con el plan antifraude —circuito de recepción, análisis y derivación de comunicaciones sobre fraude— evita duplicidades y da salida ordenada a las alertas. Véase sistema interno de información en el sector público.

Cómo preparar el plan, paso a paso

1. 01Determinar el marco aplicable: ¿ejecuta la entidad fondos PRTR? ¿Existe normativa autonómica exigible en su territorio? La respuesta define el alcance mínimo y los plazos.
2. 02Diagnóstico y mapa de riesgos: áreas expuestas, operaciones sensibles, controles existentes y sus lagunas.
3. 03Diseño de controles y del circuito de conflictos de intereses: matriz riesgo-control-responsable-frecuencia, y procedimiento DACI.
4. 04Aprobación formal por el órgano competente y designación del órgano de seguimiento.
5. 05Comunicación y formación interna: el plan debe ser conocido por quienes lo ejecutan.
6. 06Seguimiento y revisión periódica: informes al órgano de gobierno, actualización del mapa de riesgos y mejora de controles. Véase revisión del plan antifraude y de integridad.

Quién gobierna el plan: responsabilidad y seguimiento

Un plan sin órgano responsable se degrada rápidamente. Conviene definir tres niveles:

• Órgano de aprobación: el órgano de gobierno de la entidad, que aprueba el plan y asume su impulso.
• Responsable u órgano de seguimiento: quien supervisa la ejecución de los controles, recibe las incidencias y eleva informes periódicos. Puede ser una persona o una comisión, según el tamaño de la entidad, pero la designación debe ser formal y sus funciones estar escritas.
• Ejecutores de controles: las personas que, en cada área, aplican los controles asignados y dejan constancia de su ejecución.

La periodicidad del seguimiento debe estar fijada en el propio plan (informes al órgano de gobierno, revisión del mapa de riesgos, actualización de controles), de modo que la vigilancia no dependa de la memoria o la voluntad de cada momento.

Anticiparse al marco en tramitación

Aunque la ley general de integridad pública siga en tramitación, hay razones prácticas para no esperar:

• Las entidades que ejecutan fondos PRTR ya están obligadas: para ellas el plan no es opcional ni futuro.
• El anteproyecto apunta a una generalización: diseñar ahora con holgura (mapa de riesgos, controles registrados, circuito DACI) evita improvisaciones si el marco se aprueba.
• Las auditorías y la intervención valoran la diligencia: una entidad con controles documentados responde mejor ante cualquier revisión de la gestión de fondos, sean o no del PRTR.
• El diseño hecho con tiempo es más barato organizativamente que el hecho contra un plazo: permite integrar el canal interno de información, la formación y la evidencia en un solo sistema en lugar de apilar documentos inconexos.

Diseñar el plan como un sistema mantenible —y no como un documento para cumplir un trámite— es la diferencia entre una pieza que resiste una auditoría y una que no.

Errores habituales

• Afirmar que el plan es obligatorio para todo el sector público estatal: no lo es; la exigibilidad concreta depende del PRTR y de la normativa autonómica aplicable, y la ley general está aún en tramitación.
• Copiar un plan de otra entidad: el mapa de riesgos debe nacer de la actividad propia; un plan clonado se detecta en la primera auditoría.
• Controles sin evidencia: si la ejecución del control no se registra, a efectos de supervisión no existe.
• Tratar la DACI como un formulario aislado: debe conectarse con un procedimiento de gestión del conflicto declarado.
• Aprobar y archivar: el plan exige seguimiento periódico; sin revisiones, queda desactualizado en un año.

Cómo lo hacemos en Normolex

Normolex diseña e implanta planes de medidas antifraude dimensionados al marco realmente aplicable a cada entidad: diagnóstico y mapa de riesgos, matriz de controles, circuito DACI de conflictos de intereses, integración con el canal interno de información y sistema de evidencia preparado para auditoría. Conozca el detalle en nuestra página de Plan de Medidas Antifraude o plantee su situación.