La pregunta llega tarde y siempre en el peor contexto: "¿quién firmó esto?". Puede venir de una revisión interna, de un cliente que desconoce un documento o de un auditor externo. Si la empresa entregó tokens sin inventario, sin política y sin registro de uso, la respuesta honesta es que nadie lo sabe con certeza. Auditar el uso de tokens no es desconfiar del personal: es poder responder esa pregunta con evidencia, y detectar a tiempo certificados olvidados que siguen activos.
Qué se puede auditar de verdad y qué no
Conviene empezar por lo que muchos proveedores no dicen: el token en sí no genera un registro de auditoría. Es un dispositivo criptográfico que responde a peticiones; no guarda una bitácora de documentos firmados ni la envía a ningún lado. La trazabilidad no está en el dispositivo, está en tres lugares distintos:
- El documento firmado: la firma incorpora los datos del certificado del firmante y, cuando se usa sello de tiempo, el momento de la firma.
- El sistema que invocó la firma: el ERP, el gestor documental, el portal del Estado o la herramienta de firma dejan registros de sesión y de operación.
- Los controles administrativos: inventario, actas de entrega, bitácoras de uso, política de custodia.
Con la firma en la nube el panorama cambia, porque el registro es central y consultable, como explicamos en administración y control de certificados en la nube. Con tokens hay que construir la evidencia deliberadamente.
Paso 1: reconstruir el inventario
Toda auditoría empieza confrontando dos listas: los certificados que la empresa cree tener y los que existen realmente. Para cada uno se registra titular, cédula, cargo, área, formato, marca y modelo del dispositivo, fecha de emisión, fecha de vencimiento, ubicación física y procesos en los que se usa.
Los hallazgos más comunes en esta etapa son sistemáticamente los mismos: certificados emitidos a personas que ya no trabajan en la empresa, tokens que nadie sabe dónde están, dispositivos duplicados comprados por áreas distintas y certificados vigentes que nunca se usaron. Ese inventario es también la base para planificar la renovación masiva de tokens.
Paso 2: verificar tenencia y vigencia
- Confirmación de tenencia: cada titular confirma por escrito que tiene físicamente su dispositivo. Suena elemental y es donde aparecen las sorpresas.
- Verificación de vigencia: revisar la fecha de caducidad de cada certificado con el método descrito en cómo verificar si un certificado caducó.
- Prueba funcional: firmar un documento de prueba para confirmar que el dispositivo funciona y que el titular recuerda su PIN. Un token que nadie prueba durante meses es un incidente esperando la fecha límite.
- Cruce con nómina: ningún certificado corporativo debe estar en manos de alguien desvinculado.
Paso 3: revisar la evidencia de uso
| Fuente | Qué muestra | Limitación |
|---|---|---|
| Documentos firmados en el gestor documental | Quién firmó, qué documento y cuándo | Solo cubre lo que pasó por ese sistema |
| Propiedades de firma del PDF | Certificado usado, integridad del documento y sello de tiempo si existe | Requiere revisar documento por documento |
| Registros del ERP o del sistema propio | Usuario, operación y fecha | Depende de que la integración registre esos eventos |
| Portales del Estado | Constancia de presentaciones realizadas | La información disponible depende de cada portal |
| Bitácora interna de uso del token | Fechas de retiro y devolución del dispositivo | Existe solo si la empresa la implementó |
Si tu operación firma desde sistemas propios, vale la pena diseñar los registros desde el inicio; el enfoque técnico está en cómo validar firmas electrónicas de forma programática.
Paso 4: contrastar con las facultades
Firmar técnicamente bien no significa firmar con competencia para hacerlo. La auditoría debe confrontar cada firma relevante con las facultades de quien la puso: nombramiento inscrito, poder vigente, delegación interna o matriz de autorizaciones por monto y tipo de documento. Es el hallazgo más serio que suele aparecer, porque compromete a la empresa frente a terceros. El detalle de quién puede firmar qué está en tokens para representantes legales y apoderados.
Hallazgos típicos y cómo cerrarlos
- Token en manos de un tercero: retirar de inmediato, revocar si corresponde y recordar por escrito que la firma es personal e intransferible.
- PIN compartido: cambio de PIN y, si el certificado firmó documentos sensibles en ese período, revisión de lo firmado.
- Certificado sin uso: evaluar si corresponde no renovarlo, con el criterio de cuántas firmas necesita tu empresa.
- Dispositivo extraviado: revocación, denuncia si aplica y reemplazo, siguiendo las prácticas de seguridad física de los tokens.
- Falta de trazabilidad estructural: es señal de que el proceso debe pasar por un sistema que registre, no por escritorios sueltos.
Paso 5: convertir la auditoría en control permanente
Una auditoría que se hace una vez y se archiva no cambia nada. Lo que sí funciona es dejar instalados cuatro controles simples: inventario vivo con responsable nombrado, alertas de vencimiento con anticipación cómoda, acta de entrega y devolución obligatoria para cada dispositivo, y confirmación periódica de tenencia. Con eso, la siguiente revisión es una verificación de media jornada y no un proyecto.
Si la empresa concluye que necesita ver de forma centralizada quién firma qué, esa capacidad es propia de los modelos gestionados; la comparación está en la guía para elegir entre token, archivo y nube. El precio actualizado de cada formato está en la página de precios.
Comprobantes electrónicos: un frente de auditoría aparte
Si tu empresa emite facturas electrónicas, la firma que las respalda también entra en la revisión: certificado vigente, titular correcto y proceso que no dependa de un dispositivo en el escritorio de una persona. Para modernizar la emisión, el grupo ofrece Azur, facturación electrónica autorizada por el SRI, con registro en azur.com.ec/registro.
Omnifox: trazabilidad también en las conversaciones
Muchos documentos se firman por un pedido que llegó por chat. Si esa conversación vive en el teléfono personal de alguien, la auditoría se queda sin la mitad del contexto. El grupo detrás de Firmas.com.ec desarrolla Omnifox, plataforma omnicanal que centraliza WhatsApp, redes, correo y llamadas en una bandeja compartida, con historial por cliente y responsables asignados. La conversación queda en la empresa. Conócela en omnifox.io.
Preguntas frecuentes
¿El token guarda un registro de todo lo que firmó?
No. El dispositivo ejecuta operaciones criptográficas, pero no lleva bitácora de documentos. La trazabilidad hay que construirla con los sistemas que invocan la firma y con controles administrativos.
¿Cómo sé quién firmó un documento concreto?
Revisando las propiedades de firma del archivo: allí consta el certificado usado y, si hubo sello de tiempo, el momento de la firma. Eso identifica al titular del certificado, no necesariamente a quien sostenía el token, y por eso importa la custodia.
¿Puedo saber si alguien usó el token de otra persona?
Técnicamente el documento aparecerá firmado por el titular. Detectarlo depende de controles indirectos: bitácoras de uso, ubicación del dispositivo, registros del sistema y coherencia con la actividad de la persona.
¿Cada cuánto conviene auditar?
Con la periodicidad que defina la propia empresa según su tamaño y riesgo, y siempre después de cambios de personal, renovaciones o incidentes. Lo importante es que exista un calendario y un responsable.
¿La firma en la nube facilita la auditoría?
Sí, porque el uso queda registrado de forma central y consultable, sin depender de que cada usuario lleve su propia bitácora. Es una de las razones por las que las empresas con muchos firmantes migran parte de su parque.
Si necesitas ordenar el inventario de firmas de tu empresa y dejar controles que funcionen solos, Habla con un asesor de Firmas.com.ec y revisamos juntos el esquema que le conviene a tu empresa.