Un ERP concentra decisiones que afectan a compras, ventas, inventario, contabilidad y pagos. Por eso, un permiso aparentemente normal puede crear un riesgo cuando se combina con otro: por ejemplo, poder modificar datos sensibles de un proveedor y participar en la preparación de un pago, o crear un pedido y confirmar su recepción sin una revisión independiente.
La segregación de funciones no consiste en retirar accesos de forma indiscriminada. Consiste en identificar combinaciones de capacidades que requieren una separación real, entender si existe una necesidad operativa legítima y aplicar controles proporcionados. La automatización y la IA pueden ayudar a reunir roles, permisos y evidencias; no deben decidir por sí solas que una persona conserva un acceso incompatible ni aprobar una excepción de riesgo.
Empiece por los actos que pueden cambiar el resultado
No comience con miles de transacciones o nombres técnicos de permisos. Identifique primero los actos de negocio que alteran dinero, datos maestros, existencias o registros relevantes. En un ERP suelen incluir la creación o modificación de proveedores y clientes, cambios de cuentas de pago, pedidos, recepciones, facturas, notas de crédito, ajustes de inventario, asientos manuales y ejecución o liberación de pagos.
Para cada acto, documente qué efecto produce, qué evidencia deja y qué rol de negocio debería poder realizarlo. Este inventario convierte una discusión técnica en una pregunta entendible: ¿puede la misma persona preparar y cerrar una operación sin una comprobación independiente?
Defina conflictos concretos, no una lista genérica
Una matriz útil expresa pares o secuencias de capacidades incompatibles según el proceso. No todas las organizaciones necesitan la misma matriz: una empresa con almacén propio, una empresa de servicios y una compañía con filiales tendrán riesgos y controles distintos.
- Datos maestros y pagos: modificar datos bancarios de un proveedor y crear, liberar o ejecutar pagos.
- Compras: emitir un pedido, confirmar una recepción y validar una factura del mismo expediente.
- Ventas: crear un cliente, alterar condiciones comerciales y aprobar una nota de crédito.
- Inventario: registrar una salida o recepción y aprobar el ajuste que corrige una diferencia.
- Contabilidad: preparar y contabilizar un asiento manual sin revisión cuando supera un umbral definido.
Estas reglas deben incluir el sistema, la sociedad, el centro o almacén, el importe y el periodo que las hace relevantes. Un conflicto sin contexto genera ruido; uno demasiado permisivo deja fuera el riesgo que se pretendía controlar.
Distinga rol, permiso efectivo y capacidad real
Un informe de roles no siempre muestra lo que una persona puede hacer. Puede haber perfiles heredados, accesos temporales, privilegios concedidos directamente, cuentas compartidas, conexiones de soporte o autorizaciones en aplicaciones satélite que llegan al ERP por integración.
La revisión debe partir de la identidad individual y reunir sus asignaciones efectivas, el alcance organizativo y los privilegios elevados. También conviene separar el acceso de consulta del que permite crear, modificar, aprobar, contabilizar o ejecutar. Esta distinción evita presentar como conflicto un permiso de lectura que no puede cambiar un resultado.
Construya un expediente entendible para cada conflicto
Cuando se detecta una combinación, el responsable necesita más que un código de autorización. El expediente debería mostrar la persona o cuenta, los dos actos incompatibles, el alcance afectado, el motivo de la asignación, el propietario del rol, la fecha de última revisión y las operaciones recientes que ayuden a evaluar la exposición.
La IA puede resumir una solicitud, relacionar nombres de roles con el proceso y preparar una descripción clara. Aun así, el resultado debe enlazar a la fuente original: configuración del ERP, registro de acceso, solicitud aprobada o evidencia de un control alternativo. Un resumen no sustituye la evidencia.
Resuelva cada caso con una de cuatro decisiones
Evite que todos los hallazgos terminen en una lista sin dueño. Para cada conflicto, establezca una salida explícita:
- Eliminar: retirar el permiso que ya no responde a una función actual.
- Rediseñar: separar tareas o usar un rol menos amplio para que el proceso siga funcionando.
- Compensar: conservar temporalmente el acceso con una revisión independiente, frecuente y verificable.
- Aceptar de forma limitada: autorizar una excepción con alcance, motivo, responsable, fecha de caducidad y revisión definida.
La excepción no es una etiqueta permanente. Debe caducar o revalidarse; de lo contrario, se convierte en un permiso normal sin la protección que justificó su concesión.
Cuándo un control compensatorio es razonable
En equipos pequeños puede no ser viable separar todas las tareas. Un control compensatorio puede ser adecuado si es independiente de quien ejecuta la acción, ocurre a tiempo para detectar o evitar el impacto y deja evidencia verificable. Por ejemplo, una revisión por una persona autorizada de los cambios de datos bancarios frente a una fuente confirmada antes de que entren en la siguiente propuesta de pago.
No basta con una revisión informal por correo. Debe quedar claro qué se comprueba, contra qué fuente, con qué frecuencia, quién revisa las excepciones y qué ocurre si se encuentra una desviación. Si el control solo se realiza cuando hay tiempo, no compensa de forma fiable el conflicto.
Integre la revisión en altas, cambios y bajas
La revisión anual por sí sola llega tarde. Cada alta, cambio de puesto, cobertura temporal, proyecto y baja es una oportunidad para prevenir un conflicto antes de que el acceso entre en producción. El flujo debe solicitar una finalidad de negocio, proponer el rol mínimo necesario y evaluar las incompatibilidades antes de asignar permisos.
Las cuentas técnicas merecen la misma atención. Una automatización con capacidad para modificar datos maestros o generar movimientos no debe heredar privilegios amplios por comodidad. Su identidad, propietario, alcance y permisos han de estar documentados y revisados. Para este tipo de diseño y gobierno de automatizaciones, KMOOPS puede ayudar desde sus servicios.
Mida la eficacia sin convertir el proceso en burocracia
Las métricas deben ayudar a decidir, no a ocultar el problema con un porcentaje. Resultan útiles el número de conflictos abiertos por proceso, la antigüedad de las excepciones, los permisos sin propietario, los conflictos introducidos por cambios recientes y el tiempo hasta retirar un acceso incompatible.
Revise también la calidad de la matriz. Si casi todos los hallazgos se cierran como falsos positivos, la regla necesita más contexto. Si apenas se detectan conflictos pero siguen apareciendo incidencias, puede que falten permisos directos, integraciones o ámbitos organizativos en el análisis.
Límites: lo que esta revisión no demuestra
Una matriz de segregación identifica una posibilidad de actuación; no demuestra por sí sola un fraude ni sustituye una investigación. Tampoco reemplaza la validación de controles financieros, la revisión de registros, las políticas de aprobación ni la supervisión de proveedores. La decisión de retirar un acceso sensible o aceptar una excepción debe recaer en los responsables de negocio, IT y seguridad que conocen el proceso y su consecuencia.
El criterio práctico es sencillo: si una misma identidad puede iniciar y completar una acción con impacto sin una comprobación independiente, existe una cuestión que merece evaluación. Si quiere convertir esa evaluación en un flujo trazable y adaptado a sus sistemas, puede contactar con KMOOPS.