El control horario ha dejado de ser simplemente una herramienta para registrar la entrada y salida de los trabajadores. En organizaciones cada vez más digitalizadas, los sistemas utilizados para gestionar la jornada laboral almacenan información que debe ser fiable, íntegra, accesible y trazable.
Desde la perspectiva de una auditoría informática, la cuestión no es únicamente comprobar que existe un registro de jornada. También es necesario analizar cómo se genera ese registro, quién puede modificarlo, qué evidencias quedan de los cambios realizados y qué medidas existen para evitar manipulaciones o pérdidas de información.
¿Qué debe revisar una auditoría informática del control horario?
Cuando el registro de jornada se realiza mediante una aplicación, ERP, plataforma web o cualquier otro sistema informático, la auditoría debe evaluar tanto el funcionamiento de la solución como los controles implantados alrededor de ella.
Uno de los primeros aspectos que deben analizarse es la identificación del usuario. El sistema debe permitir asociar cada registro con la persona correspondiente y disponer de mecanismos que reduzcan el riesgo de suplantaciones o fichajes realizados por terceros.
También resulta fundamental comprobar la integridad de los registros. Una entrada, salida o modificación posterior no debería poder desaparecer sin dejar evidencias.
Esto cobra especial importancia cuando determinados perfiles —administradores, responsables de Recursos Humanos o supervisores— disponen de permisos para corregir horarios.
Modificar un registro no debería significar borrar su historia
En la práctica pueden existir motivos legítimos para modificar un fichaje: un trabajador olvidó registrar su salida, se produjo una incidencia técnica o se introdujo una hora incorrecta.
El problema desde el punto de vista de auditoría aparece cuando el sistema permite sustituir directamente el dato original.
Una solución correctamente diseñada debería conservar información suficiente para reconstruir lo ocurrido. Por ejemplo:
- registro original;
- dato corregido;
- fecha y hora de la modificación;
- usuario que realizó el cambio;
- motivo de la corrección, cuando corresponda.
Este historial proporciona una pista de auditoría que permite comprobar posteriormente quién hizo qué y cuándo.
La trazabilidad protege tanto a la empresa como al trabajador y facilita la investigación de posibles incidencias.
Logs: una pieza fundamental de la auditoría
Los logs o registros de eventos permiten conocer determinadas acciones realizadas dentro del sistema.
Una auditoría informática puede comprobar, entre otros aspectos, los accesos de los usuarios, intentos fallidos de autenticación, modificaciones relevantes, operaciones administrativas o cambios en configuraciones y permisos.
Sin embargo, disponer de logs no es suficiente.
También debe evaluarse si están protegidos frente a modificaciones no autorizadas, durante cuánto tiempo se conservan, quién puede acceder a ellos y si existe algún mecanismo para detectar comportamientos anómalos.
Un sistema que registra numerosos eventos pero permite que un administrador elimine fácilmente las evidencias puede ofrecer una trazabilidad mucho menor de la que aparenta.
Gestión de usuarios y segregación de funciones
Otro punto crítico son los permisos de acceso.
No todos los usuarios deberían disponer de las mismas capacidades. El trabajador puede necesitar consultar sus registros; un responsable, gestionar determinadas incidencias; y Recursos Humanos, realizar funciones adicionales.
Los permisos deberían configurarse siguiendo el principio de mínimo privilegio: cada usuario dispone únicamente de las capacidades necesarias para desempeñar sus funciones.
En determinados entornos también puede ser recomendable aplicar segregación de funciones, evitando concentrar en una única persona capacidades incompatibles.
Por ejemplo, si un usuario puede modificar registros, aprobarlos y eliminar cualquier evidencia de esas operaciones, el control interno pierde efectividad.
Disponibilidad, conservación y recuperación de la información
Una auditoría también debe comprobar qué ocurriría ante un fallo del sistema.
Las políticas de copias de seguridad y recuperación son especialmente importantes cuando la información almacenada puede ser requerida posteriormente.
No basta con realizar backups. Conviene verificar periódicamente que pueden restaurarse correctamente y que los procedimientos de recuperación están documentados.
Además, debe garantizarse que los registros puedan consultarse y proporcionarse cuando resulte necesario durante su periodo obligatorio de conservación.
Protección de datos y seguridad
Los sistemas de control horario gestionan información vinculada directamente con trabajadores identificados. Por ello, su implantación también debe contemplar requisitos de protección de datos y seguridad de la información.
La auditoría puede revisar aspectos como el control de acceso, cifrado cuando resulte apropiado, conservación de datos, gestión de incidencias y medidas adoptadas para impedir accesos no autorizados.
El nivel de control deberá ser proporcional a los riesgos y a las características de la tecnología utilizada.
De fichar a generar evidencias fiables
La digitalización del control horario aporta importantes ventajas, pero también introduce nuevas responsabilidades.
Desde una perspectiva de auditoría informática, un buen sistema no es simplemente aquel que permite pulsar un botón para registrar una entrada o una salida. Es aquel que puede demostrar posteriormente que la información almacenada es fiable y trazable.
Integridad, gestión adecuada de permisos, logs, conservación de históricos, copias de seguridad y seguridad deben formar parte del diseño.
Porque cuando llega una auditoría, la pregunta importante no es únicamente si existen registros de jornada.
La verdadera pregunta es: ¿podemos demostrar que esos registros son fiables?
Contáctanos en info@legalauditors.es
