Guía práctica para empresas sobre entrega, custodia y devolución de llaves, usuarios, contraseñas y accesos sensibles, con foco en soportes y trazabilidad.
En muchas empresas, el problema no empieza con un fraude grande ni con una demanda compleja. Empieza con algo aparentemente simple: una llave sin acta de entrega, un usuario compartido entre varias personas, una contraseña que nadie sabe quién autorizó o un excolaborador que conserva acceso a correos, bodegas, plataformas o cuentas críticas.
Ese tipo de vacíos suele quedar por fuera de los manuales internos, aunque puede afectar frentes laborales, comerciales, probatorios y de protección de información. Por eso, la custodia de llaves físicas, claves digitales y accesos sensibles no debería manejarse como un asunto informal de confianza, sino como parte del sistema básico de control interno de la empresa.
Si su organización viene creciendo y todavía administra estos accesos por chats, mensajes sueltos o instrucciones verbales, conviene ordenar el tema antes de que aparezca un conflicto. Un acompañamiento de outsourcing legal para empresas puede ayudar a aterrizar estas reglas en contratos, políticas y soportes útiles para la operación.
La administración de accesos no es solo una cuestión tecnológica. También toca asuntos de derecho laboral, comercial y de cumplimiento empresarial.
Cuando la empresa no deja trazabilidad clara sobre quién recibió, usó, custodió o devolvió un acceso, aparecen dificultades como estas:
Además, si dentro de esos accesos hay datos personales de trabajadores, clientes o proveedores, la empresa también debe mirar sus deberes de gestión y protección de la información, en línea con el régimen aplicable de habeas data y con las orientaciones generales de la SIC sobre protección de datos personales.
No se trata solo de la llave de una oficina o de la contraseña del correo corporativo. En la práctica, conviene mapear todos los accesos que permiten entrar, usar, autorizar, consultar o extraer activos físicos o digitales.
Algunos ejemplos frecuentes son:
Una empresa que no identifique esta lista completa suele creer que tiene control, cuando en realidad solo tiene control sobre una parte del problema.
Muchas compañías entregan accesos el mismo día del ingreso de una persona, pero no dejan soporte uniforme de:
Eso genera una falla repetida: la operación sí avanza, pero la trazabilidad no. Y cuando surge una diferencia, la empresa termina reconstruyendo hechos con correos dispersos, chats informales o recuerdos del equipo.
Desde una mirada preventiva, lo recomendable es que el acceso tenga el mismo nivel de formalidad que otros activos de trabajo. Igual que ocurre con equipos, herramientas o novedades contractuales, lo importante no es acumular formatos innecesarios, sino dejar evidencia clara y consistente.
No todas las empresas necesitan un sistema sofisticado. Pero sí conviene definir una base documental simple, uniforme y exigible.
Antes de entregar cualquier acceso, sirve tener una matriz que responda una pregunta básica: ¿qué tipo de acceso requiere realmente cada rol?
Esa matriz ayuda a evitar dos extremos igual de problemáticos:
La matriz puede organizarse por área, cargo, sede, sistema, nivel de autorización y responsable aprobador.
Cada entrega debería dejar constancia, por lo menos, de:
Si se trata de accesos digitales, no siempre conviene dejar contraseñas visibles en un formato. Lo importante es documentar la asignación, el responsable, el canal seguro de entrega y la aceptación de deberes de custodia.
La empresa debería contar con una política que conecte este tema con sus demás reglas internas. Esa política puede definir:
Si la empresa ya tiene procesos de derecho laboral o de cumplimiento interno documentado, esta política debería armonizarse con contratos, reglamentos, manuales y procedimientos disciplinarios.
No basta con registrar la entrega inicial. También conviene documentar cambios como:
En la desvinculación de trabajadores, contratistas o terceros con acceso sensible, un checklist de salida ayuda a verificar:
Desde el punto de vista de control, los usuarios compartidos suelen crear más problemas de los que resuelven. Cuando varias personas usan el mismo acceso, se dificulta establecer quién realizó una acción concreta y en qué momento.
A veces existen razones operativas para manejar cuentas funcionales o accesos colectivos, pero incluso en esos casos la empresa debería reforzar controles, por ejemplo:
Si la empresa depende de accesos genéricos en tesorería, cartera, compras o inventarios, vale la pena revisar también sus protocolos desde derecho comercial, porque el impacto puede tocar pagos, órdenes, autorizaciones y disputas con terceros.
Uno de los mayores errores es improvisar la respuesta. Si se pierde una llave, se comparte una contraseña o aparece un uso no autorizado, la empresa debería poder activar un protocolo claro.
Ese protocolo puede incluir, según el caso:
La reacción no debería centrarse solo en “cambiar la clave”. También debe mirar qué evidencia queda, quién intervino, qué activos pudieron verse afectados y si el incidente revela una falla estructural de control.
Cuando entra un trabajador o contratista, suele haber prisa por habilitar herramientas. Pero esa urgencia no debería dejar por fuera la trazabilidad. El ingreso es el momento adecuado para definir alcance, restricciones y aceptación de deberes de custodia.
Cuando una persona cambia de cargo, sede, funciones o nivel de responsabilidad, muchas empresas entregan nuevos accesos sin revisar los anteriores. Allí aparecen acumulaciones innecesarias de permisos que, con el tiempo, nadie controla.
En la salida, el riesgo no es solo la devolución física. También importa desactivar oportunamente accesos a correos, carpetas, banca, plataformas de clientes, sistemas de inventario y flujos de aprobación. Si este corte no se coordina bien, la empresa puede quedar expuesta incluso después de terminada la relación.
Sí puede ser útil, pero no basta con una cláusula genérica. Lo recomendable es combinar varios niveles documentales:
La cláusula contractual puede servir como marco general de confidencialidad, custodia, uso adecuado y devolución. Pero la prueba operativa suele descansar en registros más específicos y cotidianos.
Estas situaciones suelen mostrar que el control de accesos está débil:
Si varias de estas señales coinciden, el riesgo no es teórico. Ya hay una falla de gobierno interno que conviene corregir.
La mejor solución no siempre es producir más documentos, sino ordenar mejor el flujo entre áreas. Para muchas pymes, un esquema razonable puede incluir:
Con eso, la empresa gana trazabilidad útil sin paralizar la operación.
Las empresas suelen prestar mucha atención a contratos, nómina o cartera, pero subestiman la importancia jurídica de una llave, una clave o un permiso de acceso mal administrado. Cuando ese control falta, el problema no es solo de seguridad: también puede afectar disciplina interna, prueba, confidencialidad, pagos, inventarios y continuidad operativa.
Si su empresa necesita aterrizar estos controles en formatos, políticas y procedimientos coordinados entre RR. HH., administración y tecnología, Legal Abogados puede apoyarla con un esquema de outsourcing legal para empresas. Y si ya tiene un caso puntual o una contingencia interna por revisar, también puede escribirnos a través de la página de contacto.
Control de anticipos a proveedores. Cierre de relaciones con proveedores.
Tags
Siguiente paso
Una lectura aclara contexto, pero una conversación permite aterrizar riesgo, documentos y opciones reales.
Derecho laboral
Revise contratos, novedades y procesos laborales de su empresa.
Outsourcing legal
Si el tema se repite en su empresa, revise un acompañamiento jurídico mensual.
Enviar consulta
Comparta su caso y definamos el canal más adecuado para continuar.
Sigue leyendo
Un modelo práctico para definir quién solicita, aprueba, ejecuta y soporta los cambios de cargo dentro de la empresa, sin depender de correos dispersos.
Modelo orientativo para documentar la devolución de claves, usuarios y accesos al terminar una relación laboral o contractual en empresas colombianas.
Guía práctica para empresas en Colombia sobre cómo levantar un inventario documental útil para contratos, laboral, cartera y trámites administrativos.