Separación de funciones y confirmación humana

La separación de funciones reparte una operación sensible entre personas o sistemas distintos para que ninguno pueda completarla solo. En un agente se aplica en tres frentes: el agente propone y nunca aprueba lo que propone; quien aprueba es distinto de quien abrió el caso; y la aprobación se registra con la identidad de la persona, no con una cuenta de servicio genérica.

La política de Alerce lo dice en cinco reglas cortas. Una regla escrita no basta: hay que comprobar en el registro si se cumple, fila por fila.

Cuando una aprobación figura con la cuenta de servicio del agente, la compuerta no existió: la propuesta y la aprobación salieron del mismo sistema. Puede deberse a un atajo de configuración, a una cuenta de servicio con permiso de aprobar o a una pantalla de aprobación que se resuelve sola. Sea cual sea la causa, el pago salió sin que ninguna persona lo viera.

Abre el registro de pagos de septiembre y busca el pago que supera el umbral y aparece aprobado por una cuenta de servicio.

La regla 3 de la política dice que quien aprueba debe ser distinta de quien abrió el siniestro. Cuando coinciden, una sola persona controla la propuesta, la revisión y el resultado. En las columnas abrio_siniestro y aprobado_por se ve el cruce.

Compara ambas columnas en las diez filas y encuentra a la persona que aprobó un pago de un siniestro que ella misma abrió.

Un umbral de aprobación se puede esquivar sin romperlo: basta con repartir una operación en varias que queden por debajo. Tres pagos de menos de 1.000.000 al mismo destino, el mismo día, no piden aprobación uno por uno, pero juntos mueven más que el umbral. Por eso el control sensato acumula por destino y por día, no solo mira cada pago.

El registro marca con «(no requiere)» los pagos que no pasaron por una persona. Suma lo que se pagó ese día al mismo destino sin ninguna aprobación.

Una compuerta humana falla cuando el aprobador se convierte en un sello. Dos señales lo delatan: tiempos de revisión de pocos segundos, repetidos, y una pantalla que muestra menos de lo necesario. El registro anota los segundos_de_revision y su última línea avisa de que la pantalla no muestra la cuenta de destino: se aprueba un importe sin ver adónde va.

La corrección es doble: la pantalla debe mostrar importe, siniestro y destino, y el control debe vigilar los tiempos de revisión excepcionalmente cortos como señal de que la revisión no fue real.