Esa tabla la llenó una persona escribiendo. Y la podría haber llenado distinto.
Una declaración sobre un hecho no es el hecho
No hay nada irregular en eso. Es como funcionan casi todos los sistemas de gestión certificados del continente, y funciona razonablemente bien mientras nadie pregunte demasiado.
Pero conviene ver qué es exactamente lo que se tiene. La tabla no registra que alguien aprobó: registra que alguien escribió que alguien aprobó. Son dos hechos distintos, y en casi todos los casos coinciden. El sistema de gestión existe, entre otras cosas, para los casos en que no coinciden — y ahí la tabla no ayuda, porque fue producida por el mismo proceso que está en duda.
La norma que se suele citar acá es la cláusula 7.5 de ISO 27001, sobre control de la información documentada. Lo que pide es que se sepa quién elaboró, quién revisó y quién aprobó. No dice cómo se prueba. Esa parte la resuelve cada organización, y casi todas la resuelven con una tabla escrita a mano.
La diferencia entre declarar y registrar
Hay una alternativa, y no es nueva ni es de IA: que el acto de aprobar deje su propia evidencia, en vez de que alguien la transcriba después.
Un documento que vive como archivo versionado tiene una propiedad que un archivo de ofimática no tiene: cada cambio queda como una diferencia atribuida a un autor, con fecha, y la aprobación puede ser un acto del sistema —no un texto adentro del documento—. Quién propuso el cambio, quién lo revisó y cuándo se incorporó son datos del registro, producidos por el acto mismo.
Dicho en la forma que importa para una auditoría: la aprobación deja de ser un campo del documento y pasa a ser un hecho del historial. Nadie la escribe. Ocurre, y queda.
La prueba que separa las dos cosas
Hay una sola pregunta que distingue un sistema del otro, y se contesta en un minuto:
¿Puede el autor de un documento aprobar su propio documento?
Si el sistema se lo permite y lo que lo impide es una regla escrita en un manual, entonces la segregación de funciones es una aspiración. Existe cuando la gente se acuerda.
Si el sistema lo rechaza —si el intento falla, y falla siempre, y el rechazo también queda registrado—, entonces la segregación es una propiedad. Existe aunque nadie se acuerde, que es lo único que un control tiene que lograr.
Esa es toda la diferencia entre una política y un control, y no depende de la tecnología que use: depende de si la regla está escrita en un documento o implementada en el sistema que produce los documentos.
Por qué esto se está volviendo urgente ahora
Porque los agentes de IA empezaron a actuar sobre el sistema de gestión, y un agente no se acuerda de una regla escrita en un manual.
Mientras los actos los ejecutaban personas, la declaración escrita funcionaba como aproximación: había alguien que podía recordar la reunión. Cuando parte de los actos los ejecuta software, la única constancia que va a existir es la que el sistema haya producido en el momento. Lo que no quedó registrado cuando ocurrió no se puede reconstruir después, y con volumen de actos automatizados, «después» llega mucho antes.
Qué mirar en su propia operación
- De los documentos vigentes de su sistema de gestión, ¿cuántos tienen una evidencia de aprobación distinta del campo que lo declara?
- ¿El sistema impide que el autor apruebe su propio documento, o lo impide el procedimiento?
- Cuando un agente o un script modifica algo, ¿queda registrado quién lo autorizó, o solo que el cambio ocurrió?
La tercera es la que suele no tener respuesta, y es la que va a ser preguntada primero.
El borde, dicho
Que el historial de cambios sea atribuible no es lo mismo que sea infalsificable. Son dos propiedades distintas y hay que decirlo con precisión: la atribución —quién hizo qué y cuándo— la resuelve el registro del sistema. El no repudio criptográfico —la imposibilidad de negarlo después— exige firma por persona y es un trabajo aparte, con sus propias condiciones de gobierno.
Confundirlas es el overclaim típico de este terreno, así que va la distinción explícita: lo que un historial atribuido le da a un auditor es una evidencia mucho más fuerte que una tabla escrita a mano, y bastante más débil que una firma criptográfica. Sirve para casi todo lo que la cláusula 7.5 necesita. No sirve para sostener que nadie podría haberlo alterado nunca. Andin no certifica a nadie: produce la evidencia con la que otro decide.