Cuando un empleado puede hacer cosas que no debería poder hacer en los sistemas de la empresa, hay un problema de control de accesos. Cuando ese mismo empleado lleva meses o años con esos permisos y nadie lo ha revisado, hay un problema de auditoría.
El control de accesos no es un tema de ingenieros. Es un tema de gobierno, segregación de funciones y gestión del riesgo. No necesitas entender cómo funciona un directorio activo para detectar que el contador tiene acceso de administrador al ERP, o que un ex-empleado todavía puede ingresar al sistema de nómina.
"El auditor no necesita saber cómo se configura un permiso. Necesita saber si el permiso que existe tiene sentido — y si alguien lo ha revisado alguna vez."
Los 3 errores que el auditor debe buscar siempre
Usuarios que siguen activos en el sistema después de haber salido de la empresa o cambiado de cargo. Son la puerta más fácil de abrir — no requieren sofisticación técnica, simplemente nadie los cerró.
Empleados que han cambiado de área o cargo y conservan los permisos de todos sus roles anteriores. Con el tiempo acumulan un nivel de acceso que ningún cargo individual justifica.
Un mismo usuario que puede crear un proveedor y aprobar un pago. Que puede registrar un ingreso y también hacer el arqueo. Cada conflicto es una oportunidad de fraude sin necesidad de complicidad externa.
Cómo lo hace el auditor en la práctica
No se necesita acceso técnico directo a los sistemas. Se necesita la información correcta, pedida a las personas correctas.
Empresa manufacturera, 400 empleados. El auditor solicita el listado del ERP: 23 usuarios activos no aparecen en nómina. De esos, 4 tienen perfil de administrador financiero. Uno había salido de la empresa 14 meses atrás.
Hallazgo crítico documentado en menos de 2 horas. Sin conocimiento técnico. Solo una lista de usuarios y el reporte de nómina activa.
Y luego Agregar a la pantalla de inicio.
Comentarios