Segregación de funciones y sus conflictos

La idea es vieja y sencilla: lo que una persona sola puede hacer de principio a fin, una persona sola puede abusarlo o equivocarse sin que nadie lo note. Si quien registra una factura de proveedor es otra persona de quien la paga, un error o un fraude necesita que dos personas fallen o se pongan de acuerdo. No hace imposible el abuso; lo hace más caro y más visible.

La matriz de segregación lista pares de permisos incompatibles. Cada fila dice cuál es el par y qué riesgo evita. Una cuenta que reúne los dos permisos de una fila es un conflicto.

Toma la regla R-01 de la tabla matriz_sod: son dos permisos. Luego busca, en permisos_por_cuenta, qué cuenta tiene los dos a la vez. Tener uno solo no es conflicto, y varias cuentas tienen uno de los dos.

Un conflicto es una pareja de cuenta y regla: la misma cuenta puede romper más de una regla, y cada una cuenta aparte. Recorre las cinco reglas de la matriz contra los permisos de cada cuenta. Cuenta parejas, no cuentas: una cuenta con dos reglas rotas suma dos.

A veces un conflicto no se puede quitar: un equipo pequeño, un puesto que de verdad necesita ambos permisos. Entonces se acepta con una excepción, y una excepción tiene aprobador, un control que compensa el riesgo y una fecha de vencimiento. Cuando la fecha pasa, la excepción deja de existir y el conflicto vuelve a ser un hallazgo.

La fecha de la revisión es 2026-10-01. Mira la columna vence de la tabla excepciones_sod.

Una excepción es una decisión de aceptar un riesgo. Para que alguien la pueda defender frente a una auditoría tiene que mostrar que se pensó: quién la aprobó (alguien con autoridad para aceptar ese riesgo), por qué hace falta, qué control compensa lo que se pierde y hasta cuándo vale.