Quién ve qué: permisos, grupos y cajas

En una institución pequeña, una persona lo hace todo y todos confían. El problema llega con el crecimiento: más manos en el sistema, un voluntario nuevo cada verano, un cobrador por zona — y la misma cuenta compartida para todos. No hace falta desconfiar de nadie para ver el riesgo: sin separación de funciones, un error no tiene autor y una duda no tiene respuesta.

Las tres preguntas de acceso

La separación de funciones se arma respondiendo tres preguntas por persona. Qué puede hacer: crear clientes, registrar pagos, ver reportes, imprimir, enviar correos — decisiones independientes, no un «administrador sí o no». A quién puede ver: el cobrador de la zona norte no necesita la lista completa. Y qué dinero puede tocar: la caja del mostrador no es la cuenta del banco.

Todo negado, hasta que tú digas

El principio que sostiene lo demás es que el acceso empieza vacío. Un operador nuevo no ve saldos, no borra nada y no entra a ninguna caja hasta que alguien se lo otorga, permiso por permiso. Es lo contrario del archivo compartido, donde todos heredan todo y quitar acceso es la excepción incómoda.

Con las tres capas armadas, los papeles se dibujan solos: la tesorera ve todas las cajas y todos los reportes; el cobrador ve a sus clientes y registra sus pagos; el voluntario captura en su caja y no ve el resto. Y la bitácora guarda quién hizo qué, no como amenaza, sino como memoria.

Lo que el comité espera ver

Cuando el comité o un donante serio pregunta cómo se cuida el dinero, «solo yo tengo la contraseña» no es una respuesta tranquilizadora. «Cada quien ve lo suyo, todo queda registrado y aquí está el reporte» sí lo es. La separación de funciones no es papeleo: es la versión operativa de la transparencia.