Segregación de funciones y seguridad
La segregación de funciones (SoD, por sus siglas en inglés) es el principio según el cual ninguna persona debe controlar por sí sola una transacción financiera de principio a fin. Es uno de los controles internos más antiguos e importantes de la contabilidad, y una expectativa central de todos los marcos de cumplimiento relevantes. Este artículo explica por qué importa y cómo REDA Financials AI le ayuda a ponerlo en práctica y a mantener sus libros auditables.
Acceso que necesitará. Asignar y revisar conjuntos de permisos es una tarea del administrador del sistema de Salesforce. Los conjuntos en sí — Accounts Payable v2, Accounts Receivable v2, Accounting Controller v2, Accounting Admin v2 y Read Only v2 — son los que separan las funciones, así que planifíquelos junto con su contralor. Consulte Asignación de conjuntos de permisos.
Por qué importa la segregación de funciones
Cuando una sola persona puede registrar una transacción, aprobarla y conciliarla, los errores pasan inadvertidos y el fraude se vuelve fácil de ocultar. Separar esas responsabilidades significa que un segundo par de manos (y de ojos) interviene en cada transacción, que es exactamente lo que esperan los auditores, los reguladores y sus propias partes interesadas.
Está integrada en los estándares globales que rigen la información financiera:
- SOX (Ley Sarbanes–Oxley), Sección 404 exige a la dirección de las empresas públicas mantener y evaluar los controles internos sobre la información financiera, con la SoD como uno de sus pilares.
- El marco COSO de Control Interno – Marco Integrado, el estándar que usan los auditores para evaluar los controles, identifica la segregación de funciones como una actividad de control clave.
- Las auditorías externas bajo NIIF y US GAAP verifican que las funciones incompatibles — registro, autorización, conciliación y custodia de activos — se mantengan separadas.
- Los marcos de auditoría interna y de riesgo (y la mayoría de las aseguradoras y prestamistas) consideran que una SoD débil es una deficiencia de control significativa.
Cómo REDA le ayuda a aplicar la SoD
REDA Financials incluye un conjunto de permisos basados en roles diseñados en torno a la separación natural de funciones en un equipo contable. Usted aplica la SoD asignando el conjunto correcto a la persona correcta y, sobre todo, no concentrando funciones incompatibles en una sola persona. Consulte Asignación de conjuntos de permisos para ver la lista completa y cómo asignarlos.
Las separaciones más importantes:
- Cuentas por cobrar separadas de cuentas por pagar. Asigne Accounts Receivable y Accounts Payable a personas distintas, para que nadie facture a los clientes y pague a los proveedores a la vez.
- Registro separado de conciliación. Mantenga separadas a la persona que registra el efectivo de la que concilia el banco, para que el efectivo no pueda registrarse mal y luego «conciliarse» para ocultarlo.
- Preparación separada de revisión. Use el conjunto Read Only para revisores, auditores, directores y el director financiero — visibilidad completa, sin capacidad de modificar nada.
- Administración separada de las operaciones diarias. Reserve Accounting Admin para quienes configuran el sistema, no para quienes contabilizan las transacciones del día a día.
Controles de aprobación y la verificación de doble validación
Los conjuntos de permisos separan quién puede hacer qué; los controles de aprobación separan el registro de la autorización en los documentos donde más importa. Cinco tipos de documentos — órdenes de compra, facturas de compra, facturas de venta, presupuestos y movimientos presupuestarios — incluyen un campo Estado de aprobación que condiciona la contabilización: el documento debe estar Aprobado (o No requerido) antes de poder contabilizarse en el libro mayor. Conecte ese campo a los procesos de aprobación nativos de Salesforce que reflejen su política de autorización — por importe, por departamento, por entidad — y la persona que captura una factura ya no podrá ser quien la autorice. REDA provee el control; usted diseña la cadena de aprobación. El recorrido completo está en Aprobaciones para documentos contables.
Dos controles relacionados completan el panorama:
- Los asientos contables se controlan por rol, no por aprobación. Un asiento contable no tiene campo de aprobación: el control consiste en que solo los usuarios cuyo conjunto de permisos otorga derechos de asientos pueden crear y contabilizar uno. Reserve ese derecho a quienes deban tenerlo.
- La conciliación bancaria tiene una verificación de doble validación integrada. El usuario que aprueba una conciliación completada debe ser distinto del que la completó; de lo contrario, el sistema la rechaza: «El aprobador no puede ser el mismo usuario que completó la conciliación. La segregación de funciones exige que la apruebe un usuario diferente». Una vez aprobada, la conciliación queda bloqueada de forma permanente.
Controles integrados que protegen sus libros
La segregación de funciones funciona mejor sobre una plataforma que registra todo y no permite que nadie reescriba la historia en silencio. REDA Financials incorpora controles de nivel empresarial:
- Un libro mayor inmutable. Los asientos contables se generan automáticamente a partir de sus documentos de origen y nadie puede editarlos directamente — ningún rol otorga acceso de escritura al libro mayor. Cada asiento es rastreable hasta la transacción que lo originó.
- Un rastro de auditoría completo. Un registro de auditoría centralizado documenta las operaciones financieras y los eventos del sistema — quién hizo qué, cuándo, desde qué dirección IP, incluyendo el estado anterior y posterior de los campos modificados.
- Seguimiento del historial de campos. Los cambios en los campos críticos se registran en los documentos financieros, lo que le brinda un historial permanente para fines de SOX y auditoría.
- Permisos aplicados en toda la aplicación. La aplicación respeta los permisos de cada usuario en cada lectura y escritura, de modo que cada persona solo ve y modifica lo que su rol le permite.
- Bloqueo de períodos. Una vez cerrado un período contable, queda protegido frente a nuevas contabilizaciones, lo que preserva la integridad de los resultados reportados.
Una plataforma conforme y de nivel empresarial
REDA Financials AI está diseñado para organizaciones que se toman en serio el cumplimiento normativo. Además de los controles internos descritos arriba, REDA opera un sistema formal de gestión de seguridad de la información y funciona por completo sobre la infraestructura confiable de Salesforce:
- ISO 27001 y SOC 2 Type II — el programa de seguridad de REDA se construye conforme a estos estándares para gestionar la confidencialidad, la integridad y la disponibilidad de sus datos.
- Privacidad de datos — prácticas de manejo y eliminación de datos alineadas con el GDPR y la CCPA.
- Sus datos permanecen en su org. REDA Financials es nativo de Salesforce — sus datos contables residen en su entorno de Salesforce, bajo su propio control, no en un sistema externo independiente.
- Infraestructura confiable. Funciona sobre la plataforma Salesforce, cuyos centros de datos cuentan con certificaciones SOC 1/2, ISO 27001 y FedRAMP.
Cómo ponerlo en práctica
Asigne roles a personas
Decida quién se encarga de cuentas por cobrar, cuentas por pagar, el libro mayor, la administración y la revisión, y luego asigne los conjuntos de permisos correspondientes, manteniendo separadas las funciones incompatibles.
Documente las excepciones
Cuando una persona deba desempeñar dos roles, registre los controles compensatorios (rastro de auditoría, historial de campos, revisión independiente) para sus auditores.
Incorpórelo a la puesta en marcha
Confirme su configuración de SoD como parte de la Lista de verificación para la puesta en producción antes de comenzar a operar.
Qué sigue
- Asignación de conjuntos de permisos — el mecanismo que aplica la SoD.
- Asignación de licencias — quién puede contabilizar.
- Cumplimiento normativo y estándares — los estándares que respalda la SoD.
- Registro de auditoría — el rastro de evidencia detrás de los controles.
- Aprobaciones para documentos contables — agregue controles de revisión a las transacciones.
Preguntas frecuentes
En general, REDA proporciona los elementos básicos — conjuntos de permisos basados en roles diseñados en torno a funciones separadas, y controles de aprobación en los documentos clave — y usted implementa la SoD asignándolos y configurándolos de forma adecuada. Esto es intencional: la separación correcta depende de su equipo y de sus políticas. Un control sí se aplica de forma incondicional: una conciliación bancaria no puede ser aprobada por la persona que la completó. Además, la plataforma respalda todo con un libro mayor inmutable, un registro de auditoría completo y un historial de campos, de modo que cualquier actividad sea rastreable.
Separe lo que pueda — como mínimo, mantenga las cuentas por cobrar, las cuentas por pagar y la conciliación bancaria en manos distintas siempre que sea posible — y apóyese en controles compensatorios para el resto: revisión independiente mediante acceso Read Only, el registro de auditoría y el historial de campos. Documente las excepciones. Los auditores aceptan controles compensatorios cuando la separación total no es viable.
No. El libro mayor es inmutable — los asientos se generan automáticamente a partir de sus documentos de origen y ningún rol puede editarlos directamente. Las correcciones se realizan mediante transacciones de reversión o ajuste adecuadas, que quedan a su vez registradas y son rastreables.
Un registro de auditoría centralizado documenta las operaciones financieras y los eventos del sistema — quién realizó la acción, qué registro afectó, cuándo, desde qué dirección IP, y el estado anterior y posterior de cualquier campo modificado — junto con el historial de campos de Salesforce en los campos críticos para lograr trazabilidad de estilo SOX.
Sí. REDA opera un programa formal de seguridad de la información alineado con ISO 27001 y SOC 2 Type II, sigue las prácticas de datos de GDPR/CCPA y funciona de forma nativa en la plataforma Salesforce — de modo que sus datos permanecen en su propia org, sobre infraestructura confiable y certificada. Contacte a support@reda.one para obtener la documentación de cumplimiento.
¿Te resultó útil?