Auditoría y control de accesos lógicos, perfiles de usuario y contraseñas en sistemas ERP (SAP, Oracle, Concar, Starsoft)

Auditoría y control de accesos lógicos en sistemas ERP

En toda organización que utiliza un sistema ERP, el control de accesos lógicos es una de las bases del control interno. No importa si se trata de SAP, Oracle, Concar o Starsoft: si los usuarios tienen permisos excesivos, contraseñas débiles o perfiles mal diseñados, el riesgo de fraude, error material, manipulación de información financiera y pérdida de trazabilidad aumenta de forma significativa.

En el contexto peruano, este tema es especialmente relevante para empresas comerciales, industriales, de servicios, ONGs y entidades con procesos descentralizados. Un acceso inadecuado al ERP puede permitir, por ejemplo, que una misma persona cree proveedores, registre facturas y apruebe pagos en Tesorería, afectando gravemente la segregación de funciones.

Desde la perspectiva de auditoría, la revisión de accesos lógicos no solo responde a buenas prácticas de tecnología, sino también a requerimientos de confiabilidad de la información financiera. La NIA 315 - Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno exige comprender el sistema de información y los controles relevantes. Asimismo, la NIA 330 - Respuestas del auditor a los riesgos valorados requiere diseñar procedimientos de auditoría acordes con dichos riesgos.

Si la empresa depende del ERP para registrar compras, ventas, inventarios, planillas, activos fijos y contabilidad, entonces los controles sobre usuarios, perfiles y contraseñas se convierten en controles generales de TI con impacto directo en la auditoría financiera y operativa.

¿Qué son los accesos lógicos y por qué son críticos en un ERP?

Los accesos lógicos son los mecanismos que permiten o restringen el ingreso de usuarios a sistemas, módulos, transacciones, reportes, bases de datos y funciones específicas dentro del ERP. Incluyen, entre otros:

• Usuarios activos e inactivos.
• Perfiles, roles y autorizaciones.
• Contraseñas y políticas de autenticación.
• Bloqueos por intentos fallidos.
• Accesos remotos o vía VPN.
• Usuarios genéricos, compartidos o de emergencia.
• Trazabilidad de actividades mediante logs o bitácoras.

Su relevancia radica en que un ERP concentra procesos críticos. En una empresa peruana mediana, por ejemplo, desde Concar o Starsoft puede generarse el asiento contable de una compra, registrar una percepción, aplicar detracciones, emitir reportes para SUNAT y preparar estados financieros. Si el acceso no está bien controlado, los riesgos se multiplican.

Riesgos más frecuentes en empresas peruanas

• Usuarios con privilegios excesivos asignados por comodidad operativa.
• Falta de segregación de funciones entre compras, almacén, contabilidad y tesorería.
• Contraseñas débiles o que nunca expiran.
• Usuarios de excolaboradores que siguen activos tras el cese laboral.
• Perfiles heredados sin revisión periódica.
• Uso de cuentas compartidas en áreas administrativas.
• Accesos no autorizados a reportes sensibles, como planillas, márgenes o cuentas bancarias.
• Falta de evidencia de aprobación para altas, bajas y cambios de permisos.

Objetivos de la auditoría de accesos lógicos, perfiles y contraseñas

Una auditoría de accesos lógicos en ERP busca determinar si los controles implementados son adecuados para proteger la información, prevenir errores y fraudes, y asegurar que cada usuario acceda únicamente a lo necesario para cumplir sus funciones.

Entre los objetivos principales se encuentran:

• Verificar que los accesos estén autorizados formalmente.
• Evaluar si los perfiles responden al principio de mínimo privilegio.
• Comprobar la adecuada segregación de funciones.
• Revisar la solidez de las políticas de contraseñas.
• Validar el retiro oportuno de accesos de personal cesado o transferido.
• Confirmar la existencia de monitoreo y trazabilidad de actividades críticas.
• Determinar el impacto de debilidades sobre la información financiera y operativa.

Normas y marco de referencia aplicable

Aunque no existe una sola norma peruana dedicada exclusivamente al control de accesos en ERP, sí hay marcos y disposiciones relevantes que respaldan su revisión.

Normas de auditoría aplicables

• NIA 315 - Identificación y valoración de los riesgos de incorrección material mediante el conocimiento de la entidad y de su entorno.
• NIA 330 - Respuestas del auditor a los riesgos valorados.
• NIA 265 - Comunicación de las deficiencias en el control interno a los responsables del gobierno y a la dirección de la entidad.
• NIA 240 - Responsabilidades del auditor en la auditoría de estados financieros con respecto al fraude.

Referencias legales peruanas relevantes

En materia de protección de datos y deber de resguardo de información, resulta relevante la Ley N.° 29733, Ley de Protección de Datos Personales. En particular, su artículo 28 establece la obligación del titular del banco de datos personales y del encargado de tratamiento de adoptar las medidas de seguridad necesarias para garantizar la protección de los datos personales y evitar su alteración, pérdida, tratamiento o acceso no autorizado.

Asimismo, el Reglamento de la Ley N.° 29733, aprobado por Decreto Supremo N.° 003-2013-JUS, desarrolla medidas de seguridad y deberes de control sobre el acceso a información personal, aspecto especialmente sensible cuando el ERP contiene datos de trabajadores, clientes, proveedores o beneficiarios.

Desde la óptica societaria y de responsabilidad empresarial, la administración tiene el deber de velar por sistemas de control adecuados. En ese sentido, la Ley General de Sociedades, Ley N.° 26887, en su artículo 190, establece la responsabilidad del directorio en la gestión y representación de la sociedad, lo que en la práctica incluye la supervisión de mecanismos razonables de control interno.

Principales controles a evaluar en SAP, Oracle, Concar y Starsoft

Aunque cada ERP tiene su propia arquitectura de seguridad, los criterios de auditoría suelen ser similares.

1. Altas, bajas y modificaciones de usuarios

Todo usuario debe crearse únicamente con solicitud y aprobación formal. Del mismo modo, cuando un trabajador cesa o cambia de puesto, sus accesos deben desactivarse oportunamente.

En auditoría, suele revisarse:

• Formato de solicitud de acceso.
• Aprobación del jefe inmediato y/o TI.
• Fecha de creación del usuario.
• Fecha de cese versus fecha de bloqueo.
• Cambios de perfil por reasignación de funciones.

2. Diseño de perfiles y roles

Los perfiles deben agrupar permisos según funciones reales del puesto. Un error común en empresas peruanas es asignar a nuevos usuarios el perfil de un trabajador antiguo “para ahorrar tiempo”, sin revisar si ese acceso sigue siendo apropiado.

Esto genera perfiles sobredimensionados, especialmente en áreas como:

• Compras.
• Tesorería.
• Contabilidad.
• Almacenes.
• Recursos Humanos.

3. Segregación de funciones

La segregación de funciones busca evitar que una sola persona controle etapas incompatibles de una transacción. Por ejemplo, no debería ser normal que el mismo usuario:

• cree un proveedor,
• registre una factura,
• modifique la cuenta bancaria del proveedor, y
• genere la orden de pago.

Este riesgo es muy relevante en SAP y Oracle por su amplitud funcional, pero también en Concar y Starsoft cuando están integrados con módulos comerciales o de tesorería.

4. Políticas de contraseñas

Un componente básico del control de accesos es la política de contraseñas. Debe contemplar, como mínimo:

• Longitud mínima.
• Complejidad.
• Vigencia o expiración periódica.
• Historial para evitar reutilización.
• Bloqueo por intentos fallidos.
• Prohibición de compartir credenciales.

En la práctica, todavía se observan contraseñas como “Admin123”, “Empresa2024” o claves conocidas por toda el área. Estas situaciones anulan cualquier control formal existente.

5. Usuarios privilegiados y cuentas genéricas

Los accesos de administrador requieren una revisión especial. Lo mismo ocurre con usuarios genéricos, cuentas de soporte, cuentas de interfaz y usuarios temporales de proveedores externos.

La auditoría debe validar si:

• existe justificación documentada,
• su uso está restringido,
• se monitorean sus actividades, y
• se desactivan cuando dejan de ser necesarios.

6. Bitácoras y trazabilidad

Sin logs confiables, investigar incidentes resulta muy difícil. Por ello, es importante verificar si el ERP registra:

• ingresos y salidas del sistema,
• cambios de maestros,
• modificaciones de perfiles,
• anulaciones de documentos,
• cambios en cuentas bancarias de proveedores,
• ajustes contables manuales.

Tabla comparativa de riesgos y controles recomendados

Procedimientos de auditoría recomendados

Una auditoría efectiva no debe limitarse a entrevistas. Es necesario combinar indagación, inspección documental, pruebas sobre reportes del sistema y validaciones con usuarios clave.

Revisión documental

• Política de seguridad de la información.
• Manual de perfiles y roles.
• Procedimiento de altas y bajas.
• Matriz de segregación de funciones.
• Política de contraseñas.
• Registro de incidencias y accesos privilegiados.

Pruebas sobre población de usuarios

El auditor puede solicitar un reporte completo de usuarios del ERP y analizar:

• usuarios activos sin uso reciente,
• usuarios duplicados,
• usuarios sin nombre identificable,
• usuarios con perfiles críticos,
• usuarios del área de TI con acceso a módulos financieros.

Pruebas sobre segregación de funciones

Se comparan las autorizaciones asignadas con una matriz de incompatibilidades. Por ejemplo:

• alta de proveedores vs. aprobación de pagos,
• registro de compras vs. autorización de notas de crédito,
• mantenimiento de maestros vs. contabilización de asientos manuales.

Pruebas sobre contraseñas y autenticación

Sin comprometer la seguridad, se valida la configuración del sistema respecto de:

• longitud mínima,
• caducidad,
• intentos fallidos,
• bloqueo automático,
• cambio obligatorio al primer ingreso.

Pruebas de seguimiento a personal cesado

Se toma una muestra de trabajadores retirados y se compara la fecha de cese con la fecha de desactivación del usuario en el ERP. Este procedimiento suele revelar debilidades importantes en empresas con alta rotación.

Ejemplo práctico: empresa comercial en Lima con Starsoft

Una empresa distribuidora de productos de consumo masivo en Lima utilizaba Starsoft para ventas, inventarios, compras y contabilidad. Durante la revisión de control interno se detectó que el asistente de compras tenía permisos para:

• crear proveedores,
• registrar facturas,
• modificar condiciones de pago, y
• emitir reportes de cuentas por pagar.

Además, el jefe de tesorería podía cambiar cuentas bancarias de proveedores sin segunda aprobación. La política de contraseñas no exigía renovación periódica y existían tres usuarios de excolaboradores todavía activos.

Riesgo identificado: posibilidad de registrar proveedores ficticios, alterar datos de pago y procesar desembolsos indebidos.

Recomendaciones:

• Separar el alta de proveedores del registro de facturas.
• Exigir doble validación para cambios de cuentas bancarias.
• Bloquear usuarios inactivos por más de 30 días.
• Implementar contraseñas con longitud mínima de 10 caracteres.
• Realizar revisión trimestral de accesos.

Resultado esperado: reducción del riesgo de fraude y mejora en la confiabilidad del proceso de compras y pagos.

Ejemplo práctico: ONG en Perú con Concar

Una ONG con proyectos financiados por cooperación internacional utilizaba Concar para su contabilidad y hojas complementarias para control presupuestal. Durante la auditoría se observó que el contador general y un asistente compartían credenciales para registrar ajustes contables cuando había cierres urgentes.

Adicionalmente, no existía evidencia formal de aprobación para otorgar accesos, y el responsable de TI mantenía una cuenta con privilegios amplios sobre módulos contables.

Riesgos identificados:

• pérdida de trazabilidad sobre quién registró asientos,
• posibilidad de alterar información financiera sin adecuada supervisión,
• dificultad para sustentar la integridad de reportes ante cooperantes.

Recomendaciones:

• Eliminar cuentas compartidas.
• Asignar usuarios individuales e intransferibles.
• Implementar aprobaciones formales de accesos.
• Restringir privilegios del área de TI en módulos financieros.
• Revisar logs de asientos manuales al cierre de cada mes.

En organizaciones sin fines de lucro, este tipo de control es clave para fortalecer la rendición de cuentas frente a donantes, directorio y entes supervisores.

Diferencias prácticas entre SAP, Oracle, Concar y Starsoft en materia de accesos

Buenas prácticas para fortalecer el control interno

• Diseñar una matriz de accesos por puesto.
• Aplicar el principio de mínimo privilegio.
• Realizar revisiones periódicas de usuarios y perfiles, al menos trimestralmente.
• Formalizar el proceso de alta, modificación y baja de accesos.
• Deshabilitar de inmediato usuarios de personal cesado.
• Restringir y monitorear usuarios privilegiados.
• Prohibir cuentas compartidas salvo casos excepcionales y controlados.
• Implementar políticas robustas de contraseñas y, de ser posible, autenticación multifactor.
• Monitorear cambios críticos en proveedores, clientes, cuentas bancarias y asientos manuales.
• Capacitar al personal sobre seguridad y responsabilidad en el uso del ERP.

Señales de alerta que la gerencia no debe ignorar

• Usuarios activos que no pertenecen a la planilla actual.
• Contraseñas que nunca vencen.
• Accesos de TI a módulos financieros sin justificación.
• Alta cantidad de asientos manuales al cierre mensual.
• Cambios frecuentes de cuentas bancarias de proveedores.
• Perfiles “temporales” que se vuelven permanentes.
• Ausencia de evidencia de aprobación de accesos.

Estas alertas no prueban por sí mismas la existencia de fraude, pero sí indican debilidades que deben corregirse antes de que generen pérdidas económicas o contingencias reputacionales.

Conclusión

La auditoría y control de accesos lógicos, perfiles de usuario y contraseñas en sistemas ERP como SAP, Oracle, Concar y Starsoft es un componente esencial del control interno moderno. No se trata solo de una revisión tecnológica: impacta directamente en la confiabilidad de la información financiera, la prevención del fraude, la protección de datos y la eficiencia operativa.

En la práctica peruana, muchas debilidades surgen no por falta de sistemas, sino por ausencia de disciplina en la gestión de accesos: usuarios que conservan permisos antiguos, contraseñas compartidas, perfiles sobredimensionados y controles de baja insuficientes. Una auditoría bien ejecutada permite identificar estos riesgos y transformarlos en oportunidades de mejora concreta.

Si su empresa, ONG o institución necesita evaluar sus controles de acceso en ERP, fortalecer la segregación de funciones o revisar riesgos en sus procesos financieros y administrativos, puede contactarnos en auditor@carloslingan.pe para una asesoría especializada.