ERP: controla la segregación de funciones y los accesos

Evita que un mismo acceso controle un proceso completo

La segregación de funciones reduce el riesgo de que una sola identidad pueda iniciar y completar operaciones incompatibles sin revisión. En un ERP, el análisis debe partir de procesos y permisos efectivos —no solo de nombres de roles— porque una combinación de autorizaciones puede crear un conflicto que no aparece al revisar cada rol por separado.

SAP Access Control permite analizar riesgos por rol, acción o permiso y evaluar el efecto combinado de roles. La documentación de análisis de riesgos de acceso de SAP explica estas vistas del análisis. El principio sirve como guía, pero las reglas de conflicto deben validarse con propietarios del proceso y con la configuración real del sistema.

Matriz de riesgos por proceso

Proceso	Combinación que revisar	Control posible si la separación no es viable
Proveedores y pagos	Crear o modificar proveedor + preparar o liberar pago	Revisión independiente de cambios bancarios y pagos antes de ejecución.
Compras	Crear pedido + aprobar el mismo pedido	Aprobación por una persona distinta y límites por importe.
Ventas y abonos	Crear pedido + emitir o aprobar abono	Revisión de excepciones y conciliación con documentación de soporte.
Inventario	Registrar movimiento + aprobar ajuste de inventario	Conteo independiente, muestreo y revisión de movimientos extraordinarios.
Cierre financiero	Registrar asiento + aprobar o conciliar el mismo asiento	Revisión por un responsable separado y evidencia de conciliación.

Esta tabla es solo un punto de partida. Ajusta los conflictos según importes, entidades legales, operaciones automatizadas y responsabilidades reales; no copies un catálogo de otro ERP sin validar el significado de sus permisos.

Flujo de control

1. Identifica acciones incompatibles y el impacto de una combinación indebida.
2. Analiza usuarios y roles efectivos; incluye cuentas técnicas y accesos de emergencia.
3. Simula el rol antes de asignarlo y corrige el conflicto, o documenta una mitigación aprobada.
4. Revisa cambios de puesto, altas, bajas y roles temporales; elimina el acceso cuando termina la necesidad.
5. Revalida periódicamente con evidencia de transacciones y de controles compensatorios.

Un control compensatorio solo reduce el riesgo si tiene responsable, evidencia, frecuencia y seguimiento de excepciones. Vincula la matriz con la auditoría de rendimiento SAP ERP y la gobernanza de proveedores y contratos TI cuando haya administración externalizada.