La pregunta llega siempre en el peor momento: un cliente cuestiona una cláusula, una entidad pide el respaldo de un trámite o auditoría interna quiere saber quién autorizó una orden de compra. Y la empresa descubre que puede mostrar el documento, pero no puede reconstruir con certeza quién lo firmó, cuándo y con qué certificado.
Auditar firmas electrónicas no es una tarea de sistemas: es un control interno que combina tres fuentes de evidencia y un procedimiento repetible. Este artículo describe qué se puede probar, de dónde sale cada dato y cómo armar una revisión periódica que resista una auditoría externa.
Las tres fuentes de evidencia
Ninguna sirve sola. La auditoría consiste precisamente en cruzarlas:
| Fuente | Qué prueba | Qué no prueba | Dónde vive |
|---|---|---|---|
| El documento firmado | Quién firmó, con qué certificado, y si el contenido fue alterado después | Si esa persona estaba autorizada a firmarlo | El archivo mismo, en el repositorio documental |
| El registro del sistema | Cuándo se envió, quién aprobó antes, en qué orden, desde dónde | La validez técnica de la firma | La plataforma de gestión o flujo documental |
| El inventario de certificados | A quién se le entregó cada certificado, su formato y su vigencia | Qué se firmó con él | La administración de certificados de la empresa |
| La matriz de facultades | Quién estaba autorizado a comprometer a la empresa en cada tipo de acto | Nada por sí sola; es el criterio de contraste | Legal o gobierno corporativo |
El hallazgo más grave que produce este cruce no es una firma inválida: es una firma técnicamente perfecta hecha por alguien que no tenía facultad para firmar ese documento.
Qué se puede extraer de un documento firmado
Un archivo firmado electrónicamente contiene información verificable sin depender de ningún sistema interno. En la práctica se puede leer:
- Identidad del firmante, con los datos que la entidad de certificación incorporó al certificado, incluida la identificación de la persona y, cuando corresponde, la empresa a la que se vincula.
- Entidad emisora del certificado y su cadena de confianza.
- Fecha y hora de la firma, con el detalle de que la hora del equipo del firmante es distinta de un sello de tiempo emitido por un tercero.
- Integridad del contenido: si el archivo fue modificado después de firmarse, la verificación lo delata.
- Vigencia del certificado al momento de la firma, que es lo que realmente importa, y no si el certificado está vigente hoy.
Este último punto genera confusión permanente en auditorías. Un certificado que ya caducó no invalida retroactivamente lo que firmó mientras estaba vigente. La verificación de vigencia está explicada en cómo verificar un certificado caducado, y los mensajes de validación que confunden en certificado no válido: causas y solución.
El inventario de certificados: el registro que casi nadie tiene
Es el eslabón débil de la mayoría de las empresas. Sin un inventario actualizado no hay auditoría posible, porque no se puede afirmar quién tenía capacidad técnica de firmar en una fecha determinada. El registro mínimo incluye titular, cargo y área, formato entregado, fecha de emisión y de vencimiento, quién autorizó la solicitud, y fecha de baja o revocación cuando corresponde.
Ese registro tiene un uso adicional muy concreto: la salida de personal. Cuando alguien deja la empresa, el inventario es lo que permite verificar que su certificado fue dado de baja y que no quedó activo. La administración centralizada facilita este control, como se describe en administración y control de certificados en la nube y en firma electrónica centralizada para equipos.
El enemigo de la auditoría: la firma compartida
Todo el modelo de atribución se apoya en una premisa: solo el titular pudo firmar con su certificado. Si en la empresa circula la práctica de prestar el archivo .p12 o dictar la clave por teléfono, esa premisa se rompe y con ella se cae la auditoría entera. Ya no se puede afirmar quién firmó, apenas qué certificado se usó.
Por eso una auditoría seria empieza por lo organizativo, no por lo técnico: verificar que exista una política escrita de no compartir credenciales, que los firmantes la conozcan y que las ausencias se cubran con suplencias formales y no con préstamos de certificado. La alternativa correcta está desarrollada en plan de contingencia si el firmante no está disponible.
Procedimiento de revisión periódica
- Definir el universo. Qué tipos de documento entran en la revisión: contratos sobre cierto nivel de relevancia, actas societarias, documentos presentados ante entidades.
- Tomar una muestra. No hace falta revisar todo. Una muestra por tipo de documento y por área es suficiente para detectar patrones.
- Verificar técnicamente cada documento. Firmante, integridad, vigencia al momento de firmar y presencia de todas las firmas requeridas.
- Contrastar con la matriz de facultades. ¿Quien firmó podía firmar eso? Aquí aparecen los hallazgos que importan.
- Cruzar con el inventario. ¿El certificado usado estaba asignado a esa persona y activo en esa fecha?
- Documentar hallazgos y plazos de corrección, con responsable nombrado por cada uno.
Cuando el volumen es alto, la verificación uno por uno deja de ser viable y conviene automatizarla; el enfoque técnico está en cómo validar firmas electrónicas de forma programática.
Hallazgos típicos y qué significan
- Documentos sin todas las firmas requeridas. Casi siempre indica un circuito que se cerró antes de tiempo por presión comercial.
- Firmas de personas sin facultad. El hallazgo más serio; obliga a revisar la matriz y, en algunos casos, a ratificar el acto.
- Certificados activos de personal desvinculado. Falla del proceso de baja, no de la tecnología.
- Documentos alterados después de firmados. Suele ser inocente (alguien reimprimió o volvió a guardar el archivo) pero destruye la evidencia y hay que corregir el manejo del repositorio.
- Versiones firmadas distintas circulando. Problema de control de versiones previo a la firma.
Conservación: la auditoría de dentro de cinco años
La evidencia solo sirve si sobrevive. Tres reglas prácticas: el archivo original firmado se conserva tal cual, sin reguardarlo ni convertirlo de formato; se conserva junto con la evidencia de su verificación en el momento en que se hizo; y el repositorio debe permitir localizar el documento por criterios de negocio, no solo por nombre de archivo. El marco general del expediente sin papel está en la empresa sin papel, y el fundamento del valor probatorio del archivo firmado en validez legal de los contratos digitales.
El mismo criterio de trazabilidad aplica a los comprobantes electrónicos. Si tu empresa emite facturas, el grupo cuenta con Azur, un sistema de facturación electrónica autorizado por el SRI que conserva los comprobantes firmados y sus respaldos. Puedes revisarlo en azur.com.ec/registro.
La conversación alrededor del documento
El grupo también desarrolla Omnifox, una plataforma omnicanal que reúne WhatsApp, correo, redes sociales y llamadas en una sola bandeja compartida. En una auditoría, buena parte del rastro de un documento está fuera del expediente: el pedido por WhatsApp, la aclaración con el cliente, la instrucción por correo. Con historial por contacto, asignación por responsable y notas internas, esa coordinación queda registrada en un solo lugar en vez de dispersarse en celulares personales. Más información en omnifox.io.
Preguntas frecuentes
¿Puedo saber desde qué computadora se firmó un documento?
El documento firmado no registra esa información. Lo que puede registrarla es el sistema desde el cual se gestionó el flujo, si lleva bitácora de accesos. Por eso el registro del sistema y el documento son fuentes complementarias.
¿Una firma sigue siendo válida si el certificado ya caducó?
Lo determinante es que el certificado estuviera vigente al momento de firmar. La caducidad posterior no borra lo firmado antes, aunque puede complicar la verificación automática, y por eso el sello de tiempo resulta útil en documentos de largo plazo.
¿Cómo pruebo que un documento no fue alterado?
Con la verificación de integridad del propio archivo firmado: si el contenido cambió después de la firma, la validación lo indica. Ese es justamente el valor probatorio principal de la firma electrónica.
¿Qué hago si encuentro que alguien firmó sin facultad?
Se documenta el hallazgo, se evalúa con el área legal el efecto sobre el acto y se corrige la causa: matriz desactualizada, certificado mal asignado o circuito que permite saltar controles. Ocultarlo suele salir mucho más caro que registrarlo.
¿Con qué frecuencia conviene auditar?
Una revisión por muestra al menos una vez por semestre para documentos críticos, y siempre después de cambios relevantes: nuevo representante legal, salida de firmantes clave o incorporación de un nuevo tipo de documento al circuito digital.
Si tu empresa necesita ordenar la asignación de certificados y dejar rastro auditable de cada firma, habla con un asesor corporativo de Firmas.com.ec. Solicita tu cotización corporativa.