Un cliente había contratado —con ayuda de una subvención pública— un proyecto de marketing online que incluía imagen digital, redes sociales, SEO y tienda online. No estaba conforme con el resultado. La memoria técnica presentada para justificar la ayuda decía una cosa; los propios datos públicos de las redes sociales decían otra.
El encargo partía de una sospecha, no de una certeza: un cliente había contratado a una empresa un proyecto integral de marketing digital —mejora de imagen de marca, gestión de redes sociales, posicionamiento SEO y desarrollo de tienda online—, parcialmente financiado con una subvención pública. Al finalizar el proyecto, el cliente tenía la sensación de que buena parte de lo facturado y de lo justificado ante el organismo que concedió la ayuda no se correspondía con el trabajo realmente entregado. Se nos encargó auditar, punto por punto, la memoria técnica de justificación frente a la evidencia verificable.
El punto de partida: contrastar lo declarado con lo público
La memoria de justificación —el documento que la empresa ejecutora presenta ante el organismo público para acreditar que ha hecho el trabajo por el que cobra la subvención— afirmaba, entre otras cosas, que las cuentas de redes sociales de la empresa se habían creado como parte de este mismo proyecto. Esa es una afirmación fácilmente verificable: tanto Facebook como Instagram permiten consultar públicamente, desde cualquier perfil, su fecha real de creación y la fecha de su primera publicación.
La comprobación fue directa: la página de Facebook llevaba activa varios años, con su primera publicación fechada casi una década antes de la fecha que figuraba en la memoria. La cuenta de Instagram, por su parte, llevaba operativa desde bastante antes también. Ambas fechas contradecían de forma clara la afirmación de que esas cuentas se habían creado dentro del proyecto auditado.
Quién publicó realmente cada contenido
El siguiente punto a verificar era la autoría real de las publicaciones que la memoria presentaba como trabajo de gestión de redes sociales (el servicio de "community management" contratado). En Facebook, con los permisos adecuados de administración de la página, es posible comprobar desde qué perfil se ha realizado cada publicación. Ese dato permitió diferenciar con claridad dos conjuntos de publicaciones: las hechas con las plantillas gráficas diseñadas y entregadas dentro del proyecto —publicadas desde el perfil vinculado a la empresa ejecutora— y otras, anteriores, publicadas directamente desde el perfil personal del propio cliente. La memoria de justificación incluía estas últimas como parte del trabajo entregado por la empresa contratada, cuando en realidad las había publicado el propio cliente.
Contar publicaciones, mes a mes
El contrato especificaba un servicio de gestión de redes sociales de doce meses, con entre 4 y 8 publicaciones mensuales. Las publicaciones hechas con las plantillas oficiales del proyecto son fácilmente identificables por su diseño, así que se hizo un recuento mes a mes en ambas redes sociales. El resultado: actividad real solo en 6 de los 12 meses contratados, y en uno de esos 6 meses ni siquiera se alcanzaba el mínimo pactado de publicaciones. El resto del periodo contratado no presentaba ninguna publicación con el material de la campaña.
Otras discrepancias detectadas
- Duplicidad de facturación: un mismo concepto de diseño gráfico para una campaña concreta aparecía facturado dos veces en el desglose presupuestario.
- Entregables no localizados: varias piezas de diseño presentadas en la memoria como "entregadas e implementadas" (imágenes para campañas estacionales, firma de correo corporativa) no se encontraron implementadas en ningún canal, ni constaba formación al cliente para poder implementarlas por su cuenta.
- SEO sin evidencia de ejecución: una partida específica para la creación de un blog corporativo, incluida en el presupuesto, no tenía ningún rastro de haberse configurado en el gestor de contenidos del sitio.
- Sin acceso a herramientas de analítica: pese a que la memoria incluía capturas de pantalla de Google Analytics y Search Console configurados sobre el sitio, esas herramientas nunca llegaron a estar accesibles desde la cuenta de Google habitual del cliente — un indicio de que se habían configurado bajo una cuenta de la empresa ejecutora, y no del cliente, algo poco recomendable precisamente por dejarlo sin ese historial de datos si cambia de proveedor.
Auditar también el propio desarrollo web
El cliente aportó una copia del sitio web entregado a la finalización del proyecto. Para poder inspeccionarla sin alterar en ningún momento el sitio en producción, se clonó esa copia en un servidor propio, aislado, documentando el proceso completo (incluyendo el restablecimiento de credenciales de acceso, necesario únicamente para poder auditar el entorno clonado). La tienda online resultó, en líneas generales, funcional y correctamente desarrollada; el problema no estaba ahí, sino en la ausencia de las integraciones de analítica y posicionamiento que sí formaban parte del proyecto contratado.
La lección del caso
Cuando lo que hay que verificar es si un servicio de marketing digital se prestó realmente tal y como se factura y se justifica, la fuente más fiable no siempre está en los documentos entregados por quien presta el servicio, sino en los propios datos públicos de las plataformas: fechas de creación de cuentas, autoría de publicaciones, frecuencia real de la actividad. Esta es la esencia de una auditoría OSINT bien hecha — contrastar cada afirmación documental con una fuente independiente y verificable por cualquiera, no solo confiar en lo que dice la propia memoria.