En muchas pymes todos los usuarios del programa contable son administradores. Es cómodo hasta el día en que alguien borra un asiento de un trimestre ya declarado, cambia el IBAN de un proveedor o consulta las nóminas de sus compañeros. Definir permisos de usuario no es desconfiar del equipo: es conseguir que cada cambio importante necesite a la persona adecuada y deje rastro.
Roles típicos en una pyme
| Rol | Puede | No debería |
|---|---|---|
| Administración | registrar facturas, importar banco, proponer asientos | aprobar pagos, cambiar datos bancarios de proveedores sin revisión |
| Responsable financiero | aprobar asientos manuales, cerrar periodos, aprobar pagos | crear proveedores y pagarlos sin otra intervención |
| Facturación o comercial | emitir facturas y presupuestos, ver cobros de sus clientes | modificar asientos o ver nóminas |
| Dirección | consultar informes y paneles, aprobar pagos grandes | registrar asientos |
| Asesoría externa | contabilizar, preparar modelos, consultar todo lo contable | ordenar pagos, gestionar usuarios |
| Auditor | solo lectura de los ejercicios auditados, con fecha de caducidad | modificar nada |
Los nombres de los roles cambian según el programa; lo que cuenta es separar cuatro capacidades: registrar, aprobar, pagar y administrar usuarios.
Segregación de funciones con poca gente
La regla clásica dice que quien da de alta un proveedor no debe ser quien le paga, y quien paga no debe conciliar el banco. Con tres personas en administración, separar todo es imposible. Cuando no se puede separar, se compensa con revisión:
- Doble validación en las operaciones de riesgo, aunque la segunda persona sea la gerencia.
- Informe semanal de cambios en datos maestros, revisado por alguien que no los hizo.
- Conciliación bancaria revisada al menos una vez al mes por una persona distinta de quien hace los pagos.
El cambio de IBAN, el punto débil
El fraude más habitual en pymes no requiere entrar en el programa: llega un correo, aparentemente del proveedor, que comunica una «nueva cuenta bancaria». Si administración puede cambiar el IBAN y pagar en la misma tarde, el dinero se pierde.
Ejemplo: una distribuidora recibe un correo con el logotipo de su principal proveedor pidiendo que la factura de 18.000 € se pague en una cuenta de otro banco. El programa exige que el cambio de IBAN lo apruebe una segunda persona, y el procedimiento obliga a confirmarlo por teléfono con el número que ya constaba en la ficha, no con el del correo. La llamada descubre el engaño. El permiso por sí solo no habría bastado; lo que funciona es el permiso combinado con un procedimiento.
Bloqueo de periodos
Una vez presentado el 303 de un trimestre, sus asientos no deberían poder tocarse sin más. El bloqueo de periodo impide registrar, modificar o borrar con fecha anterior a la de cierre. Cómo aplicarlo:
- Bloquea cada mes cuando esté conciliado y revisado, y cada trimestre después de presentar los modelos.
- Solo el responsable financiero puede reabrir, y debe dejar escrito el motivo.
- Si hay que corregir algo de un periodo declarado, mejor un asiento de corrección en el periodo abierto y, si afecta al IVA, una declaración complementaria o una rectificación, antes que reabrir.
El registro de quién bloqueó, quién reabrió y qué se cambió entonces es parte de la trazabilidad de cambios contables.
Datos personales: nóminas y terceros
Los asientos de nómina, los embargos o las bajas médicas contienen datos personales, algunos de categorías especialmente protegidas. El Reglamento General de Protección de Datos exige que solo accedan quienes lo necesitan para su trabajo. En la práctica:
- los asientos de nómina se contabilizan de forma agregada en la contabilidad general, y el detalle por empleado queda en el programa de nóminas;
- el acceso a las subcuentas de anticipos o préstamos a empleados se limita a quien los gestiona;
- comercial no necesita ver ni salarios ni saldos de otros clientes.
Altas, bajas y revisión periódica
Los permisos se degradan con el tiempo: alguien cambia de puesto y conserva los antiguos, o una persona que dejó la empresa sigue teniendo usuario activo. Tres hábitos lo evitan:
- Baja el mismo día de la salida de un empleado o del fin del contrato con una asesoría.
- Revisión trimestral de la lista de usuarios y roles, firmada por la gerencia.
- Usuarios nominativos, nunca cuentas compartidas como «administracion@». Sin usuario personal, la trazabilidad no sirve.
Accesos externos
Para la asesoría y los auditores, cuentas propias con el mínimo necesario y, en el caso de auditores, solo lectura y con fecha de caducidad. La organización del trabajo con la gestoría se trata en integración con asesoría contable.
Al comparar programas de contabilidad, pregunta qué roles trae de serie y si permite bloquear periodos; en la guía para elegir software contable encontrarás otros criterios a revisar.