Una empresa puede comprar veinte certificados, integrarlos con su ERP y aun así tener un problema de control: nadie escribió las reglas. Quién puede firmar, dónde se guarda el token, qué hacer si alguien pierde la clave, qué pasa cuando un firmante renuncia. Sin ese documento, cada área improvisa y las buenas prácticas duran hasta el primer apuro.
Este artículo propone la estructura de una política interna de uso de firma electrónica: qué capítulos debe tener, qué debe decir cada uno y qué errores evitar al redactarla. No es un texto para copiar tal cual —cada empresa tiene su propia realidad—, sino un esqueleto para adaptar y hacer aprobar.
Por qué hace falta una política escrita
- Delimita responsabilidades. Si nadie escribió quién custodia el token, la responsabilidad se diluye justo cuando hace falta.
- Da respaldo a quien dice que no. El analista que se niega a firmar por su jefe necesita un documento detrás.
- Sirve en auditorías y certificaciones. Es uno de los primeros documentos que se piden en una revisión de controles internos.
- Sostiene la continuidad. Cuando cambia el equipo, la política es lo único que queda del criterio original.
- Reduce el costo del error. Un incidente con procedimiento escrito se resuelve en horas; sin él, en semanas.
Estructura recomendada
| Capítulo | Contenido esencial |
|---|---|
| 1. Objeto y alcance | Qué regula y a quién aplica: empleados, contratistas, sistemas automáticos |
| 2. Definiciones | Certificado, firma electrónica, entidad de certificación, token, firma en la nube |
| 3. Roles y responsabilidades | Titular, custodio, administrador de certificados, área solicitante, auditoría interna |
| 4. Firmantes autorizados | Remisión a la matriz, con límites por tipo de documento y monto |
| 5. Solicitud y emisión | Quién autoriza un certificado nuevo, con qué respaldo y con qué formato |
| 6. Custodia y uso | Prohibición de compartir, reglas de almacenamiento, uso en equipos de la empresa |
| 7. Suplencias | Cómo se cubre una ausencia sin ceder el certificado |
| 8. Renovación y baja | Calendario de vigencias y revocación al desvincularse |
| 9. Incidentes | Pérdida, robo, sospecha de uso indebido: a quién reportar y en qué plazo |
| 10. Archivo de documentos firmados | Dónde se guardan, con qué nomenclatura y por cuánto tiempo |
| 11. Incumplimiento | Consecuencias, en coherencia con el reglamento interno de trabajo |
| 12. Vigencia y revisión | Fecha de aprobación, periodicidad de revisión y responsable |
Los capítulos que hay que redactar con más cuidado
Custodia y uso
Es el corazón de la política. Debe establecer sin ambigüedad que el certificado es personal e intransferible, que está prohibido compartir claves, tokens o archivos .p12, y que el titular responde por lo que se firme con su certificado. Conviene además fijar reglas concretas: dónde se guarda el token cuando no se usa, si se permite instalar el archivo en equipos personales y qué ocurre con los equipos de trabajo remoto.
Suplencias
Aquí es donde la mayoría de las políticas falla por omisión. Si el documento no dice cómo se cubre una ausencia, la práctica va a ser prestar el certificado, sin importar lo que diga el capítulo anterior. La redacción debe indicar quién suple a quién, con qué respaldo formal y con qué límites. El desarrollo del tema está en delegación de firma sin riesgo.
Incidentes
Debe incluir un plazo máximo de reporte —horas, no días—, el canal de reporte y la acción inmediata: solicitar la revocación del certificado a la entidad emisora. También conviene precisar qué hacer cuando se olvida la contraseña, escenario tratado en olvidé la contraseña de mi firma electrónica, y cuando se pierde el archivo, en perdí mi archivo .p12.
Los anexos que le dan utilidad
- Matriz de firmantes autorizados, con cargos, tipos de documento, límites y suplentes. El modelo está en matriz de firmantes autorizados.
- Inventario de certificados con titular, formato, vigencia y sistemas dependientes, gestionado según control de vencimientos de certificados.
- Formulario de solicitud de certificado, con la autorización de la jefatura.
- Acta de entrega y recepción del token, firmada por el custodio.
- Formato de reporte de incidentes.
- Mapa de flujos de firma, según lo definido en flujos de aprobación multinivel.
Sin anexos, la política es teoría. Con anexos, es un sistema de control que se puede auditar.
Errores comunes al redactarla
- Copiar una política de otra empresa sin ajustar cargos ni procesos: termina mencionando áreas que no existen.
- Escribirla en lenguaje jurídico impenetrable. Si el usuario final no la entiende, no la cumple.
- Prohibir sin ofrecer alternativa. Prohibir compartir el certificado sin definir suplencias garantiza el incumplimiento.
- No aprobarla formalmente. Una política sin aprobación de gerencia no obliga a nadie.
- No comunicarla. Debe formar parte de la inducción y estar disponible donde el personal la busque.
- Dejarla sin fecha de revisión. Una política de hace cuatro años suele describir una empresa que ya no existe.
Cómo implementarla sin que quede en el cajón
Tres movimientos concretos: aprobarla en el mismo acto en que se aprueba el presupuesto de certificados, comunicarla con una sesión corta por área en lugar de un correo masivo, y hacer un muestreo de cumplimiento a los tres meses. Ese muestreo —tomar diez documentos firmados y verificar que los firmó quien correspondía— es lo que convierte el documento en un control vivo.
La política encaja dentro de un proyecto más amplio de adopción, descrito en cómo implementar la firma electrónica en tu organización. Y la elección del proveedor, que condiciona varias reglas de custodia y administración, conviene hacerla con los criterios del checklist para evaluar un proveedor.
Decisiones de formato que la política debe fijar
Una política madura no deja el formato al gusto de cada usuario. Define, por ejemplo, que la gerencia usa token USB bajo custodia, que las áreas operativas usan firma en la nube y que los procesos automáticos operan con un certificado dedicado en entorno controlado. El análisis de cada opción está en archivo, token o nube para tu empresa.
Definido eso, la emisión es simple: 100% en línea y aproximadamente 30 minutos por certificado, en cualquiera de los tres formatos. Para valores por cantidad de firmantes, revisa la página de precios o solicita una cotización corporativa.
Política también para la comunicación
El grupo también desarrolla Omnifox, una plataforma omnicanal que reúne WhatsApp, correo, redes sociales y llamadas en una sola bandeja compartida. Es el equivalente de esta política aplicado a la atención: quién responde, con qué permisos y con qué historial, en lugar de que la relación con el cliente dependa del celular personal de cada ejecutivo. Más información en omnifox.io.
Preguntas frecuentes
¿Es obligatorio tener una política interna de firma electrónica?
No es una exigencia legal para todas las empresas, pero sí una práctica de control interno ampliamente recomendada y frecuentemente requerida en auditorías y certificaciones de gestión.
¿Quién debe aprobar la política?
La máxima autoridad administrativa de la empresa o el órgano que corresponda según el estatuto. La aprobación formal es lo que le da fuerza frente al personal.
¿Puede la política prohibir el uso del certificado en equipos personales?
Sí, y en muchas organizaciones es lo recomendable. Si el trabajo remoto lo hace inviable, la alternativa es migrar a firma en la nube, que no requiere instalar el certificado en el dispositivo.
¿Qué debe pasar cuando un firmante deja la empresa?
La política debe exigir la devolución del token, la revocación del certificado y la reasignación de su línea en la matriz de firmantes, todo dentro del proceso de desvinculación.
¿Cada cuánto se revisa?
Una revisión anual es un buen mínimo, con actualizaciones inmediatas ante cambios organizacionales relevantes, como una reestructuración o un cambio de representante legal.
Si ya tienes claro cómo quieres gobernar la firma en tu empresa y necesitas los certificados para sostenerlo, conversa con un asesor corporativo de Firmas.com.ec. Solicita tu cotización corporativa.