Buenas prácticas para operar sin incidentes
Un conjunto de reglas corto, aplicable y verificable. No es teoría de control interno: es lo que distingue una tesorería auditada de una que aparece en la nota roja.
La práctica central es la separación de funciones: quien da de alta beneficiarios no captura, quien captura no autoriza, quien autoriza no concilia. Todo lo demás son detalles que sostienen esa separación.
Reglas de alta y baja
- Un perfil por función, no por persona
- Poderes acotados por monto, cuenta y horario
- Baja de usuario y revocación de dispositivo el mismo día
- Dos administradores del canal, siempre activos
- Registro de quién autorizó cada alta
Reglas de operación
- Beneficiario nuevo con monto tope en el primer envío
- Cambio de cuenta confirmado por voz en número del expediente
- Ningún pago se firma sin cotejo de totales
- Operaciones fuera de horario revisadas al día siguiente
- Sesión cerrada con el botón de salida, no con la pestaña
Reglas de dispositivo y contraseña
- Dispositivo personal, nunca compartido
- PIN distinto por dispositivo, sin patrón evidente
- Contraseña del canal única, distinta a la del correo
- Gestor de contraseñas, no archivo de escritorio
- Revocación inmediata ante pérdida o robo
Prueba de fuego: si un empleado saliera hoy, ¿en cuánto tiempo quedarían revocados su usuario, su dispositivo y su contraseña? Si la respuesta es "no sé", ese es el primer trabajo pendiente.
Revisión periódica
| Frecuencia | Revisión |
|---|---|
| Diaria | Movimientos del día y operaciones en tránsito |
| Semanal | Beneficiarios nuevos y cambios de cuenta |
| Mensual | Usuarios activos, dispositivos y límites |
| Trimestral | Poderes vigentes contra organigrama |
| Anual | Revisión completa de matriz de facultades |