Segregación de Funciones y Control Dual
SoD, control dual, rotación de funciones y gestión del riesgo de colusión
¿Qué es la Segregación de Funciones?
La Segregación de Funciones (SoD — Separation of Duties) es un control interno que garantiza que ninguna persona individual tiene control completo sobre un proceso crítico. Al dividir las tareas entre distintas personas o roles, se dificulta el fraude, los errores y el abuso.
Ejemplo sin SoD (peligroso):
El mismo empleado puede crear un proveedor, registrar una factura y autorizar el pago. Puede crear una empresa ficticia y pagarse a sí mismo sin que nadie lo detecte.
Con SoD:
Gestor de Compras
Crea el proveedor
Contabilidad
Registra la factura
Dirección Financiera
Autoriza el pago
Para el fraude habría que corromper a 3 personas en distintos departamentos.
Control Dual (Two-Person Integrity)
El control dual va un paso más allá: para que una acción se ejecute, dos personas deben participar simultáneamente. Ninguna puede completar la acción sola, incluso si ambas están presentes.
Caja fuerte bancaria
Requiere dos llaves diferentes en manos de dos empleados distintos para abrirse.
Lanzamiento nuclear
El famoso "two-man rule" — dos oficiales deben girar sus llaves simultáneamente.
Backups cifrados
La clave de descifrado se divide (key ceremony): mitad con sysadmin, mitad con CISO.
Aplicación TI: Acceso a sistemas de producción de alto impacto puede requerir aprobación de dos administradores (dual approval en PAM — Privileged Access Management).
Rotación de Funciones (Job Rotation)
Rotar a los empleados entre distintas funciones periódicamente sirve como control complementario al SoD:
Detectar fraude en curso
Si alguien estaba realizando fraude, su sucesor lo descubrirá al asumir las tareas.
Reducir dependencia de persona clave
Elimina el "bus factor" — el riesgo de que solo una persona sepa cómo hacer algo crítico.
Desarrollar capacidades cross-funcionales
Los empleados entienden mejor el conjunto del proceso.
Forzar vacaciones obligatorias
Políticas de vacaciones obligatorias (mandatory leave) complementan la rotación — el fraude suele detectarse cuando el defraudador no está.
El Riesgo de Colusión
La colusión ocurre cuando dos o más personas acuerdan colectivamente realizar un fraude, eludiendo los controles de SoD. La SoD no elimina el riesgo de colusión, solo lo dificulta.
Factores que aumentan riesgo de colusión:
- • Lazos personales (familiares, amigos) entre personas con accesos complementarios
- • Incentivos económicos elevados (bonus por resultados)
- • Cultura de silencio o falta de canales de denuncia
- • Ausencia de auditorías independientes
Controles adicionales contra colusión:
- • Canal de denuncia anónimo (whistleblowing)
- • Auditoría interna y externa independiente
- • Análisis de datos de accesos y transacciones (UEBA)
- • Rotación de auditores
Buenas Prácticas
Mapear las incompatibilidades de funciones (SoD matrix) para cada proceso crítico: financiero, TI, RRHH.
Usar GRC/IGA para detectar automáticamente violaciones de SoD en la asignación de roles.
Revisar accesos periódicamente (access certification) — los permisos acumulados con el tiempo son el principal riesgo.
Aplicar SoD a nivel de sistemas TI: el DBA no debe auditar sus propios accesos.
Documentar excepciones de SoD con justificación de negocio, controles compensatorios y fecha de revisión.
SOX, PCI-DSS e ISO 27001 exigen controles de SoD — el cumplimiento normativo refuerza la implementación.
Siguiente Paso
Aprende cómo gestionar identidades y accesos a escala empresarial
IAM Empresarial: Gestión de Identidades →