El control permanece en manos de las personas designadas por la empresa: el responsable del proceso define la asignación, TI otorga acceso autorizado y los colegas designados revisan las excepciones y acciones sensibles. Los permisos, las condiciones de detención y la evidencia del resultado deben acordarse y compararse con el proceso real.
Mantén el control incluso cuando delegas
Antes del inicio acordamos quién puede leer, preparar, enviar y aprobar. Un caso fuera de las reglas sigue abierto con un responsable y un próximo paso.
Asignar trabajo también significa asignar supervisión
“El equipo lo vigila” es demasiado vago cuando un caso está estancado. Cada proceso necesita un propietario de la asignación, alguien con autoridad para aprobar las acciones relevantes y un contacto designado para excepciones. En una empresa con varias entidades jurídicas, cada caso también debe pertenecer a una entidad definida: el permiso para trabajar para una empresa no debe considerarse como autoridad para actuar para las demás.
Una asignación para discutir es que Finanzas u Operaciones definan el resultado y las reglas de trabajo, TI verifique las cuentas, las conexiones y la revocación de acceso, y el contacto del proveedor para manejar los problemas técnicos dentro del alcance acordado. La empresa identifica quién acepta el resultado y quién proporciona cobertura cuando un colega no está disponible. Los juicios contables, los pagos y los cambios en los datos bancarios quedan en manos de personas autorizadas.
La definición de responsabilidades y supervisión humana es consistente con GOBIERNO 2.1 y 3.2 en el Marco de gestión de riesgos de IA del NIST 1.0. Esta referencia ayuda a formular las preguntas; no certifica una implementación individual.
¿Qué datos puede leer y qué acciones puede realizar?
Empieza con la tarea, en lugar de con la cuenta más conveniente. La recopilación de documentos de fin de mes puede requerir acceso a una carpeta dedicada y permiso para actualizar una lista de verificación. No necesariamente requiere acceso a todos los correos electrónicos de la empresa, registros de empleados o funciones de pago.
el principio de privilegio mínimo descrito por NIST limita los permisos a los necesarios para la tarea. Aplicarlo requiere verificar los sistemas reales: ¿se pueden separar el acceso de lectura y escritura? ¿Se puede restringir el acceso por entidad, carpeta, campo o destinatario? ¿Quién almacena y renueva las credenciales? Si un sistema no puede soportar el nivel requerido de restricción, esa limitación debe ser explícita y abordarse antes de que comience el proceso.
Una matriz de acceso debe nombrar la fuente, los datos requeridos, la acción permitida, la persona que autoriza el acceso y el método de revocación. Prueba una acción permitida y una prohibida: una lista de permisos correcta no demuestra que la configuración la aplique. El Lista de verificación de integración de ERP ayuda a preparar esta evaluación.
Tres escenarios para probar antes del lanzamiento
Estos ejemplos son ilustrativos. Describen controles para acordar y probar, en lugar de funciones ya habilitadas en cada implementación.
Desplácese por la tabla horizontalmente para leer cada columna.
| Situación | Comportamiento a configurar | control humano |
|---|---|---|
| Una factura carece de la referencia requerida | Marque la información que falta y detenga el paso dependiente sin inventar un valor. | El contacto financiero confirma la referencia o rechaza el caso; el resultado permanece vinculado al registro. |
| Un correo electrónico proporciona nuevos datos bancarios | No actualizar el registro de proveedores ni iniciar un pago; remitir la solicitud a la persona autorizada. | La persona sigue el procedimiento de verificación de la empresa a través de sus canales aprobados. |
| La respuesta después de una escritura no es concluyente. | Marque el resultado no confirmado y suspenda los reintentos que podrían duplicar la acción. | TI o el contacto operativo verifica el sistema de destino antes de autorizar la recuperación. |
El tercer escenario merece especial atención: "no se recibió confirmación" no significa "no pasó nada". La prueba debe establecer cómo reconocer un caso ya procesado y quién decide si se vuelve a intentar. Los identificadores únicos, las comprobaciones duplicadas y los métodos de recuperación dependen de la integración real.
La aprobación debe estar relacionada con una acción específica.
Una solicitud que dice "¿puedo continuar?" no es suficiente. El revisor necesita ver el caso, la fuente, la acción propuesta, el destinatario o sistema involucrado y los detalles esenciales a verificar. También debe quedar claro el efecto del rechazo y el resultado si nadie responde. El silencio no debería convertirse implícitamente en permiso.
Acordar lo que invalida una aprobación: si cambia el monto, documento o destinatario, el proceso debe seguir la regla de revisión renovada. Establecer también si una misma persona podrá preparar y aprobar el trabajo, respetando la separación de funciones existente en el negocio. la guía sobre Tareas financieras aptas para delegar. ayuda a distinguir la preparación operativa de las decisiones sensibles.
Una excepción necesita un propietario y un resultado registrado
Para cada condición de detención, defina un destinatario, un canal de notificación y una regla para tomar posesión. Enviar una notificación no prueba que alguien la haya leído. El responsable del proceso necesita una forma de distinguir casos nuevos, casos asignados, casos en espera de información y casos resueltos, utilizando las herramientas acordadas.
Un registro de caso ilustrativo contiene el identificador del caso, la entidad, el motivo de la parada, los pasos completados, la información faltante, el propietario y la siguiente acción. Si la persona designada no está disponible, el procedimiento identifica la cobertura o mantiene la actividad en suspenso. Reiniciar requiere que se cumpla la condición acordada, en lugar de que la notificación simplemente desaparezca.
Cómo comprobar que el trabajo está realmente completo
Define las pruebas esperadas en el sistema de destino: un documento disponible, un estado actualizado o un asiento coincidente con el caso. Conservar las referencias necesarias para reconstruir el aporte, el resultado y la aprobación, dentro de las reglas de acceso y retención de la empresa. Un registro operativo ayuda a la investigación; no es una certificación y no garantiza la ausencia de errores o fraude.
el Seguridad y supervisión humana explica el enfoque del servicio Digital Employee: asignaciones limitadas, permisos, aprobaciones, escalamiento y la capacidad de reconstruir acciones relevantes cuando sea posible. Los detalles de permisos, notificaciones, retención de registros, detención y recuperación deben especificarse para el proceso individual. No son inclusiones universales como para inferirlas de esta guía.
Antes de extender una tarea, revise los errores observados, los casos pendientes y los cambios en los sistemas o las personas responsables. Para convertir estos controles en requisitos claros para el proveedor, utilice el Preguntas sobre selección de proveedores para directores financieros y equipos de TI.. El resultado útil es un acuerdo operativo que establezca quién autoriza el trabajo, cuándo se detendrá y qué evidencia demuestra que está terminado.