Pagos y transferencias: hallazgos de lógica

Un hallazgo técnico aprovecha un defecto de la implementación: algo quedó mal escrito, mal configurado o sin actualizar. Un hallazgo de lógica de negocio aprovecha que la regla está mal pensada: el sistema hace exactamente lo que le pidieron, y lo que le pidieron permite algo que no debería permitirse. En pagos y transferencias es donde más aparecen, porque ahí las reglas son muchas —quién puede crear, quién aprueba, cuánto se puede mover, en qué orden— y cada una es una decisión de negocio.

La diferencia no es académica: cambia a quién se le entrega el hallazgo. Lo técnico se corrige en el código o en la configuración y lo resuelve el equipo que mantiene el sistema. Lo de lógica se corrige cambiando la regla, y eso lo decide quien manda sobre el producto. Un informe que clasifica mal manda la corrección a la mesa equivocada y vuelve el año siguiente sin arreglar.

Un hallazgo vale lo que vale su evidencia. Cuando un informe afirma que algo es posible sin haberlo comprobado, el cliente corrige a ciegas, y si alguien revisa el expediente después, todo el informe pierde crédito, también la parte que sí estaba demostrada.

En un banco esto tiene un agravante: nadie va a ejecutar una operación de prueba para demostrar un encadenamiento si eso implica mover dinero entre clientes. Lo correcto es decirlo así —riesgo señalado, no comprobado— y no presentarlo como hallazgo.

Abre el laboratorio y pon cada hallazgo del borrador al lado de su evidencia.

Cuando una entidad prueba su canal todos los años, parte de lo que aparece ya apareció antes. Eso no se calla ni se repite como si fuera nuevo: se reporta marcándolo como reincidencia, porque el hecho de que siga abierto después de un plan de corrección vencido dice más sobre la entidad que el hallazgo en sí.

Vuelve al laboratorio y compara el borrador con el informe del año anterior.

Ya puedes dejar el borrador listo. Lo que no sostiene su evidencia sale de la lista de hallazgos y pasa a una nota de riesgo señalado. Lo que repite el informe anterior se queda, marcado como reincidencia. Lo que está mal clasificado cambia de clase, no desaparece.

Cuenta cuántos hallazgos siguen siendo de lógica de negocio después de aplicar esos tres criterios.