El gerente general viaja dos semanas y hay que firmar. La solución que se aplica en la mayoría de las empresas ecuatorianas es la misma: deja el token en el escritorio de su asistente, o le pasa el archivo .p12 con la clave por WhatsApp. Funciona, nadie se queja y el negocio no se detiene. También es, técnicamente, entregar la identidad digital de una persona a otra.
Este artículo trata de por qué esa práctica es un riesgo real y qué alternativas existen para que la operación no dependa de la agenda de una sola persona sin romper la cadena de responsabilidad.
Qué significa exactamente delegar la firma
Hay que distinguir dos cosas que suelen confundirse bajo la misma palabra.
La primera es la delegación jurídica: la empresa faculta a otra persona para que actúe y obligue a la compañía en determinados actos. Eso se instrumenta con un poder, una resolución del órgano competente o una designación conforme al estatuto, y tiene requisitos formales propios. Quien recibe esa facultad firma en nombre propio, con su propio certificado, indicando la calidad en la que actúa.
La segunda es lo que ocurre en la práctica: compartir el certificado del titular. Eso no es delegación de nada. Es que una persona firme haciéndose pasar por otra. El documento resultante dirá que lo firmó el gerente general aunque él estuviera en un avión, y no habrá forma técnica de saber que no fue así.
La primera es una herramienta legítima de gobierno corporativo. La segunda es un problema esperando a ocurrir.
Por qué compartir el certificado es un riesgo concreto
- Pérdida de atribución. Si tres personas usan el mismo certificado, ninguna firma prueba quién actuó realmente. El principal valor probatorio del documento desaparece.
- Responsabilidad del titular. Todo lo que se firme con ese certificado se le atribuye al titular, incluido lo que él nunca autorizó.
- Imposibilidad de auditar. Ante una revisión interna o externa, no hay manera de reconstruir quién firmó qué.
- Riesgo de fuga. Una clave enviada por chat queda replicada en varios dispositivos y respaldos, muchas veces personales.
- Continuidad frágil. Cuando la persona con acceso informal sale de la empresa, se lleva la clave y el conocimiento del proceso.
El punto de partida para corregirlo es aceptar una regla simple: el certificado de firma electrónica es personal e intransferible, como lo es la cédula. La analogía sirve para explicárselo a la gerencia sin tecnicismos.
Las alternativas correctas, según el escenario
| Escenario | Solución correcta | Lo que hay que evitar |
|---|---|---|
| El titular viaja unos días | Suplente designado con facultades acreditadas y certificado propio | Prestar el token o el archivo .p12 |
| Volumen alto de documentos rutinarios | Firmantes autorizados por tipo de documento y por monto | Concentrar todo en el representante legal |
| Firmas desde varias ciudades | Certificado propio en la nube para cada firmante | Enviar el certificado por correo a las sucursales |
| Procesos automáticos del sistema | Certificado de la compañía en entorno controlado, con registro de uso | Dejar el .p12 del gerente en el servidor |
| Cambio de representante legal | Revocar el certificado anterior y emitir el nuevo | Seguir usando el certificado del anterior |
El último caso es más común de lo que parece y tiene consecuencias serias; el procedimiento está detallado en cambio de representante legal y firma electrónica.
Distribuir la firma en lugar de delegarla
La mejor prevención contra la delegación informal es que el titular no sea un cuello de botella. Si el gerente general firma cuarenta documentos al día, alguien va a terminar usando su certificado, con política o sin ella. La solución estructural es repartir la facultad de firma por tipo de documento y por monto, con respaldo formal.
Ese reparto se documenta en una matriz de firmantes autorizados, que define qué cargo firma qué y hasta qué límite, y se ejecuta a través de circuitos definidos, como se explica en flujos de aprobación multinivel. La consecuencia práctica es que hacen falta más certificados, pero menos horas de gerencia y mucho menos riesgo. El criterio para dimensionarlo está en cuántas firmas electrónicas necesita tu empresa.
El caso de los procesos automáticos
Hay firmas que no las hace una persona: las hace un sistema. La emisión de comprobantes electrónicos, la generación de reportes o la firma masiva de documentos operan sin intervención humana en cada acto. Ese escenario no es "delegación", pero plantea el mismo desafío de custodia.
La práctica correcta es que el certificado utilizado por sistemas esté bajo control técnico —con acceso restringido, registro de cada uso y responsable identificado— y no sea el certificado personal de un directivo guardado en una carpeta del servidor. Para operaciones de alto volumen o alta criticidad existen esquemas con módulos de seguridad dedicados, descritos en HSM y firma electrónica de alta seguridad. Para el resto de los casos, la administración de certificados en la nube con perfiles y bitácora resuelve bien el problema; el detalle está en administración y control de certificados en la nube.
Qué debe decir la política interna
Nada de esto se sostiene con buenas intenciones. Hace falta un documento corto, aprobado por gerencia y comunicado, que establezca al menos:
- La prohibición expresa de compartir certificados, claves, tokens o dispositivos de firma.
- El procedimiento de suplencia: quién reemplaza a quién, con qué documento de respaldo y por cuánto tiempo.
- Los límites de cada firmante, alineados con la matriz de autorizaciones.
- La obligación de reportar incidentes: pérdida del token, sospecha de acceso indebido, salida de un firmante.
- Las consecuencias del incumplimiento, para que la regla tenga peso real.
Un esqueleto listo para adaptar está en la política interna de uso de firma electrónica. Y para que la política no quede en el cajón, conviene integrarla al plan general descrito en cómo implementar la firma electrónica en tu organización.
Señales de que hay delegación informal en tu empresa
- Documentos firmados por el gerente en fechas en que estaba fuera del país.
- Una sola persona sabe la clave de varios certificados.
- El token del representante legal vive permanentemente en un equipo que no es el suyo.
- Nadie puede responder con precisión quién firmó un documento concreto del año pasado.
- Cuando el titular está de vacaciones, la operación no se detiene y tampoco hay suplente designado.
Si reconoces dos o más, el problema ya existe; solo no ha tenido consecuencias todavía.
Emisión y formatos
Ordenar la delegación casi siempre implica emitir certificados para quienes hoy firman prestados. En Firmas.com.ec la emisión es 100% en línea y demora aproximadamente 30 minutos, en formatos de archivo .p12, token USB o firma en la nube. Para equipos, la firma en la nube simplifica altas, bajas y control de uso. Para conocer valores por cantidad de firmantes, revisa la página de precios o solicita una cotización corporativa.
Coordinación sin celulares personales
El grupo también desarrolla Omnifox, una plataforma omnicanal que reúne WhatsApp, correo, redes y llamadas en una bandeja compartida. Tiene relación directa con este tema: la delegación informal nace del apuro, y el apuro nace de conversaciones dispersas donde nadie sabe qué está pendiente. Con una bandeja compartida, los pedidos quedan asignados y con historial, en lugar de vivir en el chat privado de un asistente. Más información en omnifox.io.
Preguntas frecuentes
¿Puedo prestarle mi firma electrónica a mi asistente por unos días?
No es lo correcto. El certificado es personal e intransferible y todo lo firmado con él se atribuye a su titular. Si necesitas que otra persona firme, lo adecuado es que tenga facultades acreditadas y su propio certificado.
¿Cómo firma un apoderado en nombre de la empresa?
Con su propio certificado, indicando en el documento la calidad en la que actúa y con el poder o la designación que respalda esa facultad disponible para acreditarla ante quien la requiera.
¿Es válido un documento firmado con el certificado de otra persona?
Técnicamente el archivo aparecerá firmado por el titular del certificado, pero la firma no corresponderá a quien realmente actuó. Eso expone al titular y debilita cualquier defensa posterior sobre la autoría del acto.
¿Qué hago si sospecho que alguien usó mi certificado?
Solicita de inmediato la revocación del certificado a la entidad emisora, deja registro interno del incidente y emite uno nuevo. La revocación impide que se siga firmando con él.
¿La firma en la nube evita que se comparta el certificado?
Reduce mucho el riesgo, porque el certificado no se puede copiar como un archivo y cada uso queda registrado con el usuario que lo autorizó. Aun así, la política interna debe prohibir compartir credenciales de acceso.
Si tu empresa quiere dejar de depender del token prestado y repartir la firma con respaldo formal, conversa con un asesor corporativo de Firmas.com.ec. Solicita tu cotización corporativa.