La salida es un proceso, no un correo de aviso

RR. HH. conoce la fecha, TI administra cuentas, el jefe conoce aplicaciones y compras puede saber qué proveedores fueron contratados. Un checklist debe activar tareas coordinadas, con hora, responsable y evidencia. En posiciones críticas, hay que planificar también salidas inesperadas.

No todos los accesos son visibles

La empresa recuerda correo, pero puede olvidar CRM, bancos, publicidad, repositorios, VPN y cuentas de soporte. Las cuentas compartidas hacen difícil identificar acciones. El inventario de aplicaciones y los usuarios nominativos son controles de gestión, no solo de TI.

Bloquear no resuelve todo

También deben revocarse sesiones, tokens y claves compartidas, recuperarse equipos y revisarse dispositivos y proveedores. La empresa debe proteger continuidad sin borrar evidencia necesaria para un conflicto o investigación. La coordinación requiere criterios definidos.

Cómo se ve en una empresa

Un escenario frecuente es que una desvinculación ocurre fuera de horario y la baja de accesos se ejecuta al día siguiente. La situación puede parecer menor porque nació como una excepción, una urgencia comercial o una decisión tomada por una sola persona. Sin embargo, cuando el proceso se repite, se conecta con otros sistemas o afecta a más titulares, deja de ser una anécdota y se convierte en una práctica organizacional. La gerencia debe mirar el flujo completo: qué entra, quién decide, qué se comparte, qué se conserva y qué ocurre cuando algo sale mal.

El riesgo que suele pasar inadvertido

Una señal importante es que si la baja se ejecuta manualmente y sin hora definida, existe una ventana de exposición difícil de medir. El problema no siempre produce una infracción acreditada de inmediato, pero sí reduce la capacidad de la empresa para prevenir, responder y demostrar diligencia. También puede generar efectos no jurídicos: tiempos de respuesta mayores, reprocesos, pérdida de confianza, dependencia de una persona o dificultad para cerrar una venta. Evaluar el riesgo exige considerar probabilidad, impacto, sensibilidad, volumen y capacidad real de control.

La decisión que no conviene postergar

La decisión práctica es integrar RR. HH., TI y jefaturas en un checklist con hora de ejecución y responsables alternos. No significa aplicar el control más costoso ni copiar el modelo de una empresa grande. Significa elegir una medida que pueda ejecutarse, asignar un responsable y establecer una fecha de revisión. Una acción simple, documentada y comprobable suele reducir más riesgo que una declaración ambiciosa sin implementación. Si el análisis revela una materia técnica o jurídica especializada, debe escalarse oportunamente.

Una advertencia para la implementación

El error que conviene evitar es bloquear el correo y olvidar sesiones, tokens, cuentas de servicio y dispositivos. Las organizaciones suelen caer en él porque buscan velocidad, reutilizan documentos o confían en que el problema se resolverá con una compra. La corrección requiere coordinar personas, proceso, contrato y tecnología. Por eso, el seguimiento debe considerar no solo si la medida fue aprobada, sino si fue adoptada, si funciona bajo presión y si sigue siendo adecuada cuando cambia el negocio.

Checklist de cierre para la gerencia

Antes de dar por cerrado este tema, conviene confirmar cinco puntos: existe un responsable con autoridad; el proceso está documentado en lenguaje que la operación pueda usar; los accesos y datos están limitados a lo necesario; hay evidencia de que el control se ejecuta; y se definió una fecha para revisar si sigue funcionando. Esta revisión breve permite convertir una recomendación en una decisión administrable. También ayuda a explicar avances a socios, clientes y equipos internos sin presentar el cumplimiento como una declaración abstracta.

Checklist mínimo de offboarding

  • Aviso oportuno de RR. HH. a las áreas responsables.
  • Bloqueo de cuentas, sesiones, tokens, VPN y aplicaciones críticas.
  • Recuperación de equipos, llaves y tarjetas.
  • Cambio de credenciales compartidas y revisión de cuentas de servicio.
  • Registro de fecha, responsable y resultado.

Una decisión de gestión, no solo de cumplimiento

La responsabilidad no desaparece porque un acceso haya quedado olvidado. Un proceso de salida bien diseñado reduce incidentes y mejora la capacidad de demostrar diligencia.

Conversemos sobre la realidad de tu empresa

VEORA puede revisar incorporación y salida de personas, conectando RR. HH., tecnología, continuidad y resguardo de información.

Conocer el diagnóstico inicial de VEORA Advisory