Banca en línea y móvil como superficie

Cuando una pieza del canal la opera un tercero, la autorización del banco no vale para ella. El banco puede ser el dueño del servicio y de la marca, pero quien responde por la plataforma es el proveedor, y la prueba se hace sobre una plataforma. Sin su firma, probar esa pieza queda fuera del encargo, por mucho que el cliente dé a entender que está cubierto.

Esto es lo primero que un evaluador comprueba en el canal digital de una entidad, y es la clase de detalle que se decide leyendo el texto firmado, no el correo que lo resume. Un correo que dice «la autorización del proveedor cubre sus dos aplicaciones» no autoriza nada: autoriza lo que diga el documento que alguien firmó.

Abre el laboratorio y pon el inventario de canales al lado de las autorizaciones. Cada componente debería aparecer en alguna de las tres, con su nombre; el que no aparezca en ninguna no se prueba, y eso también se escribe en el informe.

El canal digital de un banco acumula versiones. Una ruta de la API se sustituye por otra mejor, el portal deja de llamarla y el inventario la marca como retirada; si nadie la apaga de verdad, sigue ahí, respondiendo, con las reglas de validación de la versión vieja y sin que nadie la mire.

Para el evaluador es un hallazgo de manual y se encuentra sin tocar nada raro: basta comparar lo que el inventario declara con lo que el registro del proxy vio responder durante la revisión. Ojo, porque las dos columnas se contradicen en dos filas y solo una de las dos contradicciones es un problema de exposición: una ruta vigente que no responde es un problema de disponibilidad o de inventario, no una puerta abierta.

El mapa del canal ya está completo, y con él la lista de lo que se probó, lo que no se pudo probar y por qué. Esa última parte es la que distingue un informe útil de uno decorativo: si la aplicación de empresas se quedó fuera por falta de autorización, el banco necesita leerlo, porque es un trozo de su canal digital sin revisar.