Excepciones y cómo se detecta el privilegio excesivo

Una excepción de acceso es un permiso fuera del rol que se concede de forma temporal y con una razón. Para que no se convierta en un permiso permanente escondido, lleva tres cosas: un motivo escrito, un aprobador distinto de quien la recibe y una fecha de vencimiento. Sin alguna de las tres no se puede defender ante una auditoría, porque no hay a quién preguntar ni cuándo termina.

La norma de Casabella añade una duración máxima de 90 días desde que se concede. Es una regla de la empresa ficticia, no de una ley: cada organización fija la suya según el riesgo del permiso.

Abre el laboratorio. La carpeta excepciones tiene la norma y el registro con seis excepciones, con su fecha de concesión, de vencimiento y su estado. La fecha de corte de la revisión está en la norma.

Una excepción vencida que sigue activa es un permiso concedido sin respaldo: la autorización terminó y el acceso no. Entre las que están activas y ya vencieron al corte, mira la que lleva más tiempo así y cuenta los días calendario entre su vencimiento y el corte.

El aprobador existe para que haya un segundo par de ojos. Si la persona que recibe el permiso es la misma que lo aprueba, no hay control: hay un trámite. En el registro, la columna aprobada_por muestra quién autorizó cada excepción.

La duración máxima se mide desde que se concede hasta que vence. Hay una excepción cuyo vencimiento cae tan lejos que dejó de ser temporal. Calcula cuántos días dura en total y réstale el máximo permitido por la norma.

Detectar es la mitad del trabajo y la otra mitad es dejar el registro limpio. Una excepción vencida se retira, y si el motivo sigue vigente se pide una nueva con su aprobador y su fecha, de modo que quede evidencia de que alguien decidió de nuevo. Renovar por inercia, prolongando la fecha sin mirar el motivo, repite el problema.