Accesos a sistemas de pago y conciliación

La conciliación compara dos fuentes: lo que el sistema de pagos dice que salió y lo que muestran los extractos y la contabilidad. Es el control que descubre el pago que no debió salir, el que salió por otro valor o el que salió dos veces. Pero un control que descubre fraudes solo sirve si no lo hace quien podría cometerlo.

Si la misma persona crea los pagos y concilia el día, puede crear uno indebido y, al conciliar, dejarlo pasar como si nada. Por eso la separación de funciones en un sistema de pagos tiene un orden: quien origina, quien aprueba, quien mantiene los datos del beneficiario y quien concilia son cuatro personas distintas.

A veces el conflicto no está en dos roles sino dentro de uno. Los sistemas viejos acumulan roles creados para «salir del paso» que juntan funciones porque en su momento había poca gente. Nadie los revisa porque nadie los pide: ya estaban.

Lee roles_pago y compara cada rol con los pares de incompatibles_pago. Un rol que por sí solo permite crear y aprobar el mismo lote vuelve inútil el control dual, sin importar quién lo tenga.

Otra forma del mismo conflicto es acumulativa: cada rol, por separado, es sano, pero una persona los tiene los dos. No hay ningún rol «malo» que señalar; el problema está en la combinación, y solo se ve cruzando las asignaciones con los pares incompatibles.

Busca en asignaciones_pago a quien aparezca más de una vez y mira si sus roles juntos forman uno de los pares de incompatibles_pago. El área a la que pertenece la persona no cambia el conflicto.

Cambiar la cuenta de un beneficiario es la función más peligrosa de un sistema de pagos, porque el pago mismo puede ser legítimo y el dinero llegar a otro lado. Por eso se cuenta quién la tiene como cifra de control: cuántas personas pueden hacerlo hoy.

La respuesta no está en una sola tabla. Primero identifica en roles_pago qué roles pueden modificar beneficiarios; después busca en asignaciones_pago qué usuarios tienen alguno de ellos y cuéntalos una sola vez.

Retirar de golpe un rol que alguien usa para trabajar puede detener los pagos del día. Dejarlo intacto mantiene el conflicto. La salida ordenada es quitar el rol heredado y repartir lo que hacía en roles que sí cumplen la separación; si algún caso concreto no se puede resolver todavía, se acepta como excepción, con responsable y con fecha en que vence.