Cuando se piensa en control interno contable, la mente suele ir directo a la segregación de funciones, las conciliaciones bancarias o la doble firma en los pagos. Sin embargo, hay un riesgo que crece silenciosamente en paralelo a la digitalización de los registros: la exposición de la información financiera a incidentes de ciberseguridad. En Argentina, donde la adopción de sistemas contables en la nube se acelera año tras año, este tema empieza a ganar un lugar en la agenda de quienes diseñan controles internos.
Del archivo físico al dato en la nube
Durante décadas, la seguridad de la información contable se resolvía con una caja fuerte, un armario con llave o, como mucho, una copia en un disco externo guardado en otra oficina. El riesgo era físico: incendio, robo, pérdida de un papel. Hoy el escenario es distinto. Los libros contables, los comprobantes digitales, las conciliaciones y hasta los papeles de trabajo de una auditoría circulan por correo electrónico, se almacenan en servidores de terceros y se accede a ellos desde dispositivos personales. El riesgo cambió de naturaleza, pero muchas organizaciones siguen aplicando controles pensados para el mundo del papel.
Qué tipo de incidentes afectan a la función contable
No se trata únicamente de un ataque informático espectacular. En la práctica, los incidentes más frecuentes que afectan a los departamentos contables de pymes argentinas suelen ser más modestos y, por eso mismo, más difíciles de detectar a tiempo:
- Suplantación de identidad en pagos: correos que imitan a un proveedor habitual y solicitan un cambio de cuenta bancaria de último momento.
- Secuestro de información (ransomware): cifrado de los archivos contables almacenados localmente, con pedido de rescate para recuperar el acceso.
- Accesos indebidos por credenciales débiles: contraseñas compartidas entre varios empleados del área contable, sin políticas de renovación periódica.
- Filtración de información sensible: envío accidental de nóminas de sueldos o balances a destinatarios equivocados.
El vínculo con el control interno tradicional
Lo interesante de este fenómeno es que buena parte de sus soluciones no son estrictamente informáticas, sino contables. La segregación de funciones —que ya distinguía entre quien registra, quien autoriza y quien paga— hoy debe extenderse al plano digital: quién tiene permisos de edición en el sistema, quién puede aprobar una transferencia electrónica y quién puede modificar los datos maestros de proveedores. Un sistema contable con permisos mal configurados reproduce, en el mundo digital, exactamente el riesgo que la segregación de funciones buscaba evitar en el mundo del papel.
Prácticas que reducen la exposición
Sin pretender agotar el tema, algunas prácticas concretas que distintas organizaciones argentinas han incorporado en los últimos años incluyen la autenticación en dos pasos para el acceso a los sistemas contables, la revisión periódica de los permisos de usuario cuando alguien deja el puesto, la verificación telefónica de cualquier cambio de datos bancarios de un proveedor antes de modificar el padrón, y la realización de copias de respaldo independientes del proveedor de software contable utilizado.
Una responsabilidad compartida
Quizás el punto más relevante de este debate es que la protección de la información financiera ya no puede delegarse por completo al área de sistemas. El profesional contable que diseña un circuito administrativo, el auditor que evalúa el control interno y el propio empresario que decide qué plataforma usar para facturar están, todos, tomando decisiones que afectan la seguridad de los datos financieros de la organización. Incorporar esta mirada al análisis contable habitual es, cada vez más, una necesidad y no una opción.
Nota editorial
Este artículo tiene un propósito informativo y no constituye una recomendación técnica de ciberseguridad ni un servicio de auditoría de sistemas. Para evaluar los riesgos específicos de una organización, se recomienda consultar con especialistas en seguridad de la información y con un contador público matriculado.