Cybersecurity Awareness, Policy Compliance, and Financial Data Protection in Accounting Information Systems: Evidence from Somali Financial Institutions

Resumen Técnico: Conciencia de la Ciberseguridad, Cumplimiento de Políticas y Protección de Datos Financieros en los Sistemas de Información Contable

Planteamiento del Problema
La protección de los datos financieros ha evolucionado de ser un desafío puramente técnico a convertirse en un problema contable central. Los Sistemas de Información Contable (SIC) ya no son herramientas aisladas de registro, sino que están profundamente integrados con canales de pago, bases de datos de clientes y pistas de auditoría. En consecuencia, la integridad de los registros financieros no depende únicamente de controles técnicos, sino de la conducta diaria de comportamiento de los empleados que procesan, aprueban y concilian datos. Si bien la literatura reciente conecta la ciberseguridad con los controles internos y la gobernanza de la auditoría, existe una falta de evidencia empírica sobre los comportamientos de control específicos a nivel de empleado que preceden a las brechas. Esto es particularmente crítico en entornos en desarrollo, como Somalia, donde las instituciones dependen en gran medida de la adherencia humana a los procedimientos debido a la evolución de los marcos regulatorios y la rápida digitalización. El estudio aborda la brecha en la comprensión de si la conciencia de la ciberseguridad y el cumplimiento de las políticas funcionan como controles internos conductuales efectivos dentro de los SIC.

Metodología
El estudio emplea un diseño de encuesta transversal cuantitativa dirigida a 415 empleados permanentes de instituciones bancarias y financieras somalíes, incluyendo bancos islámicos, bancos convencionales, proveedores de dinero móvil e instituciones de microfinanzas. La muestra abarca diversos roles (operaciones, contabilidad, TIC, cumplimiento, auditoría) para capturar todo el espectro de la cadena de procesamiento de información contable.

• Recopilación de Datos: Se distribuyó un cuestionario de papel autoadministrado entre febrero y marzo de 2025 para garantizar el anonimato y reducir el sesgo de deseabilidad social.
• Constructos:
  • Variables Independientes: Cinco dimensiones de la conciencia y el comportamiento de la ciberseguridad: Conciencia General de la Ciberseguridad, Prácticas de Seguridad de Contraseñas, Conciencia de Phishing, Prácticas de Seguridad de Dispositivos y Cumplimiento de Políticas.
  • Variable Dependiente: Protección de Datos Financieros, definida como el comportamiento reportado por los empleados y la percepción de la disciplina de control respecto a la salvaguarda de la información financiera y del cliente (confidencialidad, integridad y auditabilidad).
• Análisis: Los datos fueron analizados utilizando Python. El estudio utilizó el análisis de correlación de Pearson para examinar las relaciones bivariadas y la regresión lineal múltiple para probar el poder predictivo independiente de cada dimensión de la conciencia sobre la protección de datos financieros. Las pruebas de diagnóstico (VIF, Shapiro-Wilk, Breusch-Pagan, Durbin-Watson) confirmaron la validez del modelo, sin presentar multicolinealidad significativa ni violaciones de supuestos.

Resultados Clave
El análisis revela una asociación positiva moderada entre la conciencia general de la ciberseguridad y la protección de datos financieros ($r = 0.447, p < 0.001$). Sin embargo, el modelo de regresión multivariable ($R^2 = 0.287$) indica que no todas las dimensiones de la conciencia contribuyen por igual cuando se consideran simultáneamente:

1. Predictores Significativos:
   • Conciencia General de la Ciberseguridad: Permanece como un predictor positivo significativo ($\beta = 0.287, p < 0.001$).
   • Cumplimiento de Políticas: Emerge como el predictor más fuerte en el modelo ($\beta = 0.335, p < 0.001$).
2. Predictores No Significativos (Ajustados):
   • Prácticas de Seguridad de Contraseñas, Conciencia de Phishing y Prácticas de Seguridad de Dispositivos: Aunque mostraron correlaciones positivas en el análisis bivariado, perdieron significancia estadística en el modelo de regresión ajustado.

Los resultados sugieren que los hábitos técnicos específicos (contraseñas, detección de phishing, manejo de dispositivos) no predicen independientemente la protección de datos financieros una vez que se contabilizan la comprensión general del riesgo y el comportamiento de seguimiento de reglas formales.

Contribuciones Clave
El artículo realiza tres contribuciones específicas a la investigación contable:

1. Reencuadre de la Ciberseguridad: Posiciona la conciencia de la ciberseguridad no meramente como un problema de capacitación técnica, sino como un componente conductual del entorno de control de los SIC.
2. Evidencia a Nivel de Empleado: Proporciona evidencia empírica que vincula directamente la conducta del empleado con la protección de datos financieros, un resultado de control situado entre la seguridad del sistema y la fiabilidad de la información contable.
3. Rol del Cumplimiento: Identifica el cumplimiento de las políticas como el motor más fuerte de la protección de datos, respaldando la visión de que el conocimiento cibernético es más efectivo cuando se traduce en reglas formales, rutinas y mecanismos de rendición de cuentas dentro del sistema de control interno.

Significancia y Reivindicaciones
El estudio concluye que la protección de datos financieros en los SIC se asegura menos por hábitos de seguridad aislados y más por una comprensión amplia de los riesgos cibernéticos y la adherencia constante a las políticas formales. Los autores argumentan que, para las instituciones financieras, particularmente en entornos con recursos limitados, el cumplimiento de la ciberseguridad debe tratarse como un mecanismo de control interno conductual en lugar de una preocupación periférica de TI.

El artículo reconoce modestamente sus limitaciones: el diseño transversal impide la inferencia causal, la dependencia de datos autoinformados introduce un posible sesgo, y el modelo explica solo el 28.7% de la varianza, lo que indica que los factores técnicos y de gobernanza fuera del alcance del comportamiento del empleado también juegan papeles significativos. Los autores no pretenden medir la reducción real de brechas, sino los precursores conductuales de un entorno de control robusto.