Informe: Gerente del Invu acaparó y bloqueó acceso a sistema de cobros y avaló contratos sin supervisión

Si tiene solo unos segundos, lea estas líneas:

• Un informe interno del Invu señala que el gerente Marco Vinicio Hidalgo Zúñiga se negó a entregar a la Unidad de Tecnología los accesos a los códigos fuente del sistema financiero Abanks.
• El documento advierte que esa decisión impide a los técnicos revisar el sistema y podría dejar a la institución dependiente del proveedor, con riesgo para la operativa diaria.
• El mismo informe también cuestiona un contrato con la empresa LTI por servicios de conectividad que habría costado más de ₡1.600 millones en los últimos ocho años.

Un informe y una de serie de oficios intercambiados entre Marco Vinicio Hidalgo Zúñiga, gerente del Instituto Nacional de Vivienda y Urbanismo (Invu), y funcionarios de la Unidad de Tecnologías de Información (TI) de la institución confirman el reclamo y la denuncia que realizó ese departamento sobre la supuesta apropiación y bloqueo del jerarca al acceso a los programas fuente de un sistema contratado —según el informe— "de forma innecesaria" y por el cual se pagaron ₡1.600 millones en los últimos ocho años.

Los documentos, de los que CR Hoy tiene copia, revelan cuestionamientos contra el gerente por concentrar esos accesos e impedir que la Unidad de TI revisara técnicamente el programa adquirido en 2017.

El objetivo del área técnica consistía en obtener acceso a los programas fuente del sistema financiero Abanks, utilizado por la institución en su operativa diaria, con el fin de brindar mantenimiento básico y atender eventuales fallas.

Las diferencias surgieron en 2020, cuando María Amalia Pessoa Araya, encargada de la Unidad de Tecnología de Información, solicitó a Hidalgo Zúñiga la entrega de los accesos al programa fuente, también conocido como código fuente. Este corresponde a instrucciones escritas por un programador en un lenguaje de programación de alto nivel, legibles para los humanos, pero no directamente ejecutables por una computadora.

Un oficio interno del Invu revela un conflicto entre la Unidad de Tecnología de Información y la Gerencia General por el acceso a los programas fuente del sistema financiero Abanks.

En el documento, Pessoa advirtió al gerente general que el instituto enfrenta un riesgo institucional grave al no contar con acceso a los códigos fuente, pese a que el contrato con la empresa proveedora establece que estos deben entregarse al Invu.

El sistema Abanks entró en producción el 1.º de noviembre de 2017. Desde entonces, la unidad técnica solicitó en reiteradas ocasiones la entrega de los archivos fuente a Hidalgo Zúñiga, quien actúa como fiscalizador del contrato en su rol de gerente general.

Un informe de la Presidencia Ejecutiva expone cuestionamientos al funcionamiento de la institución y a supuestas irregularidades cometidas por funcionarios, entre ellos el gerente. En ese documento se señala que los códigos fuente del programa Abanks se mantuvieron bajo custodia del gerente general hasta setiembre de 2025, "violando el control interno ya que él es el promotor del sistema".

"El programa Abanks no tiene activos los reportes necesarios, se han debido hacer "parches" caseros para obtener información necesaria", reprocha el informe.

Advertencia por dependencia del proveedor

Pessoa señaló en el informe que, sin los códigos fuente, el Invu no puede conocer la operativa completa del sistema, brindar soporte, realizar mantenimiento ni desarrollar mejoras, lo que dejaría a la institución dependiente de la empresa proveedora.

"Si no se cuenta con los programas fuentes, en cualquier momento se puede detener la operativa diaria del Instituto", advirtió en el documento.

La funcionaria también indicó que la Unidad de Tecnología desconoce incluso la ubicación física de los archivos. Además, tras revisar el expediente de contratación, los técnicos no encontraron constancia de un "recibido conforme" de dichos programas.

Asimismo, cuestionó nuevas contrataciones con el mismo proveedor sin que los especialistas del Invu revisaran los códigos para verificar su integridad o el funcionamiento real del sistema.

Según el informe, incluso se habrían utilizado recursos del presupuesto de la Unidad de Tecnología para algunas contrataciones sin que la jefatura tuviera conocimiento o autorización.

Posible incumplimiento contractual

Pessoa también advirtió que la falta de acceso a los códigos fuente podría constituir un incumplimiento contractual.

De acuerdo con el documento, el cartel de la Licitación Abreviada N.º 2016LA-000005-0005800001 y el contrato establecen que el proveedor debe entregar los programas fuente. Además, si el Invu decide comprarlos, la empresa estaría obligada a venderlos por un precio no mayor al 80% del monto ofertado.

La encargada de TI alertó que, si los códigos se entregaran encriptados o ilegibles, el instituto quedaría en una situación de indefensión, ya que solo el proveedor podría modificarlos.

"La Unidad de Tecnología de Información no intenta otra cosa que proteger al Invu de prácticas comunes en el mercado donde los proveedores no entregan los archivos fuente para garantizar futuros contratos", señala el oficio.

Gerencia defiende esquema de soporte externo

En su respuesta, el gerente general rechazó los cuestionamientos y aseguró que sí cuenta con una versión inicial de los códigos fuente, conforme a lo ofertado en el contrato.

El jerarca defendió el modelo de soporte externo y afirmó que la tendencia del mercado tecnológico consiste en operar el software como servicio, lo que implica depender del proveedor para mantenimiento y actualizaciones.

También recordó que antes de la implementación de Abanks el Invu utilizaba el sistema AVIION -plataforma informática basada en los servidores Aviion-, cuyo funcionamiento dependía de una sola persona, lo que generó una alta vulnerabilidad institucional.

"Lo que he manifestado es que no voy a permitir que tengamos otro 'AVIION' en esta institución", afirmó.

El gerente también cuestionó si la Unidad de Tecnología cuenta con recursos humanos, herramientas y presupuesto suficientes para administrar los códigos fuente, dar mantenimiento al sistema, desarrollar nuevos módulos y garantizar la continuidad operativa.

Asimismo, solicitó a la unidad presentar un plan de trabajo, el presupuesto necesario y un análisis técnico que respalde la propuesta de que el Invu asuma el control directo del software.

El intercambio de oficios refleja un choque de criterios técnicos y administrativos sobre el manejo del sistema financiero del Invu y el grado de dependencia que la institución debe mantener con el proveedor tecnológico.

Informe cuestiona contrato por conectividad

Otro informe interno la institución también plantea cuestionamientos sobre el contrato que la institución mantiene desde hace más de ocho años con una empresa denominada LTI, encargada de brindar servicios de interconectividad para los sistemas financieros del instituto.

Según el documento, la Gerencia General renovó durante ese periodo la contratación para que la empresa administre una interfase de conectividad, la cual canaliza los pagos y depósitos hacia las bases de datos de los sistemas de préstamos y ahorros del Invu.

El informe advierte que, en promedio, el servicio representa un costo cercano a ₡204 millones anuales, lo que habría significado pagos acumulados superiores a ₡1.600 millones en los últimos años.

Entre los cuestionamientos, el informe indica que no existe un fiscalizador específico para la operativa vinculada a este servicio de conectividad, pese al monto del contrato y al tiempo que se ha mantenido vigente.

El documento también plantea dudas sobre la necesidad del servicio contratado, ya que los bancos con los que opera el ente gubernamental—el Banco de Costa Rica y el Banco Nacional de Costa Rica— cuentan con tecnologías VPN que permiten establecer conexiones seguras para el intercambio de información.

Según el informe, esa infraestructura permitiría que la institución realice la interconectividad mediante desarrollos internos o con un equipo propio de administradores de bases de datos, lo que podría generar ahorros significativos.

Auditoría envió informe a directiva

El reporte también señala que varias de estas situaciones llegaron a conocimiento de la Junta Directiva de la institución a través de informes de la auditoría interna.

No obstante, el informe indica que en algunas ocasiones las sesiones del órgano directivo se declararon privadas, lo que habría limitado la discusión pública de ciertos temas.

Además, cuestiona que algunos acuerdos adoptados por la Junta no habrían sido acatados por la Gerencia General, sin que —según el documento— se aplicaran eventuales repercusiones disciplinarias por esos incumplimientos.

Los señalamientos forman parte de una serie de advertencias internas sobre la gestión tecnológica y contractual dentro del Invu.

Sin respuestas del gerente

Desde el lunes 2 de marzo, CR Hoy envió una solicitud a la oficina de prensa de la institución para obtener una posición del gerente sobre esta y otras informaciones mencionadas en el informe. Sin embargo, la entidad indicó que gestionaba las respuestas y al cierre de esta nota no enviaron respuestas.

Este viernes, ante la ausencia de una reacción del jerarca, se remitieron varias consultas a su correo electrónico de trabajo con el fin de conocer su versión sobre los siguientes temas:

• ¿Cómo justifica el pago millonario a la empresa LTI por servicios de interconectividad presuntamente innecesarios, cuando el informe señala que no existe justificación técnica para sostener el contrato?
• ¿Por qué TI denuncia la supuesta apropiación y bloqueo de su parte al acceso a los programas fuente del sistema contratado?
• ¿Hasta cuándo mantuvo usted los accesos a ese sistema y por qué no quiso cederlos a los técnicos de la institución?
• El oficio GG-TI-013-2020 cuestiona que se realizaron nuevos contratos con el mismo proveedor sin que los expertos en TI del Invu revisaran los programas fuente para constatar la veracidad e integridad de los productos. ¿Por qué se manejó de esa manera?
• TI externó preocupación por mantener relaciones comerciales con una empresa que estuviera incumpliendo contratos con el Invu. ¿Eso ocurrió? ¿Cómo lo justifica.

Por medio de correo electrónico su única respuesta fue: "Su consulta está en trámite y estas nuevas, de acuerdo con el procedimiento institucional, las trasladé al área de prensa para su debida gestión".

CR Hoy también intentó comunicarse con el gerente mediante llamadas a su teléfono celular y mensajes de WhatsApp, pero por estas vías no se obtuvo respuesta.