Hay una conversación que se repite en las empresas ecuatorianas cuando algo sale mal. Aparece un documento firmado que nadie recuerda haber autorizado, y al reconstruir la historia se descubre que la asistente, el contador o el jefe de operaciones venía usando el certificado del gerente desde hace meses, con conocimiento tácito de todos. Nadie lo consideró grave mientras no pasó nada.
Este artículo describe qué ocurre en la práctica cuando un colaborador firma con un certificado que no es suyo: en el plano del documento, en el plano laboral y en el plano del control interno. El análisis de un caso concreto y sus consecuencias jurídicas corresponden a tu asesoría legal.
Qué dice el documento firmado
Lo primero que hay que entender es que el archivo no miente ni delata: dice exactamente lo que el certificado indica. Si el colaborador firmó con el certificado del representante legal, el documento muestra que lo firmó el representante legal, con su nombre, su cédula y su fecha. No hay ningún campo que registre que la persona sentada frente al computador era otra.
Esa es justamente la razón por la que el problema es serio. La firma electrónica está diseñada para atribuir un acto a una persona identificada; compartir el certificado destruye esa propiedad sin dejar evidencia de que fue destruida. El documento sigue siendo técnicamente correcto y verificable, y por eso nadie nota nada hasta que hay una disputa.
Los tres planos del problema
| Plano | Qué ocurre | A quién afecta primero |
|---|---|---|
| Documental y contractual | El acto se atribuye al titular del certificado y produce efectos frente a terceros | Al titular y a la compañía |
| Laboral y disciplinario | Uso de credenciales ajenas, incumplimiento de política interna y posible falta de probidad | Al colaborador |
| Control interno y cumplimiento | Pérdida de trazabilidad y de segregación de funciones; hallazgo en auditoría | A la organización completa |
Conviene notar que el colaborador rara vez actúa con mala intención: en la mayoría de casos hace lo que le pidieron para que el trabajo no se detenga. Eso no elimina el riesgo, pero sí indica dónde está la falla de fondo, que es de diseño del proceso y no de conducta individual.
Escenarios reales y su desenlace habitual
- El empleado firma dentro de lo autorizado y todo sale bien. Es el escenario más común y el más peligroso, porque normaliza la práctica y crea antecedente.
- El empleado firma un documento con un error material. El titular tiene que asumir la corrección de algo que nunca revisó.
- El empleado firma algo fuera de lo acordado verbalmente. No hay control técnico que lo impida: quien tiene el certificado puede firmar cualquier cosa.
- El empleado sale de la empresa y conserva la clave. Si nadie revoca ni cambia nada, la exposición continúa después del vínculo laboral.
- Aparece una disputa y el titular desconoce el documento. Se encuentra probando un hecho negativo, con el agravante de que existía una práctica habitual de préstamo.
El reverso de esta situación —qué asume quien presta su certificado— está desarrollado en la responsabilidad del representante legal al delegar la firma.
Qué hacer si ya está ocurriendo en tu empresa
- Corta el uso compartido de inmediato. Antes de investigar nada, deja de sumar documentos al problema.
- Levanta el inventario de lo firmado con ese certificado en el período afectado, para dimensionar el alcance.
- Evalúa la revocación del certificado y la emisión de uno nuevo si hay sospecha de uso fuera de lo autorizado.
- Emite certificados propios para quienes efectivamente necesitan firmar, con facultades documentadas.
- Deja registro del incidente, incluso si se resolvió sin consecuencias: será evidencia del control funcionando.
- Consulta con asesoría legal y laboral antes de tomar medidas disciplinarias, porque el tratamiento depende de si existía política escrita y de cómo se comunicó.
El punto que casi siempre falta: política escrita
Muchas empresas descubren tarde que no pueden sancionar ni exigir nada, porque nunca prohibieron formalmente compartir credenciales. Sin política aprobada y comunicada, la práctica queda en una zona gris donde el colaborador puede alegar, con razón, que hacía lo que la empresa toleraba.
Una política mínima define quién puede tener certificado y con qué autorización, la prohibición expresa de compartirlo o de revelar la clave, el procedimiento para ausencias y suplencias, la obligación de reportar pérdida o sospecha de uso indebido, la devolución o baja al terminar el vínculo y las consecuencias del incumplimiento. Ese documento se apoya en el contrato de trabajo y en el reglamento interno; su articulación está tratada en firma electrónica para contratos y actas de recursos humanos, y el caso del personal remoto en contratos laborales a distancia.
Cómo diseñar el proceso para que el préstamo deje de tener sentido
La forma más efectiva de terminar con el uso compartido no es vigilar, sino quitarle utilidad. Si firmar con el certificado propio es fácil y rápido, nadie va a pedir prestado el ajeno.
| Causa del préstamo | Rediseño que la elimina |
|---|---|
| El titular viaja o no está disponible | Firma en la nube desde cualquier dispositivo autorizado |
| Volumen alto de documentos rutinarios | Firmantes autorizados por tipo de documento y límite |
| Un área depende de una sola persona | Certificado propio para el responsable del área |
| Trámite urgente fuera de horario | Flujo de aprobación con notificación al firmante correcto |
| Nadie sabe qué está pendiente | Bandeja de pendientes con responsable visible |
El reparto de firmantes está desarrollado en la gestión corporativa con varios firmantes, y la operación diaria de credenciales en administración y control de certificados en la nube.
El costo de descubrirlo en una revisión
Cuando el uso compartido lo detecta un auditor y no la propia empresa, el problema se multiplica: hay que revisar hacia atrás todo lo firmado con ese certificado, explicar por qué no existía control y demostrar que la corrección fue efectiva. Lo que suelen pedir las distintas revisiones está en qué te piden las auditorías sobre firmas, y los controles asociados a un sistema de gestión de seguridad, en ISO 27001 y firma electrónica.
Emisión, formatos y cotización corporativa
Resolver este frente casi siempre implica emitir certificados para quienes hoy no los tienen y retirar los que sobran. En Firmas.com.ec el trámite es 100% en línea y la emisión demora aproximadamente 30 minutos, en formato de archivo .p12, token USB o firma en la nube. Para equipos con rotación o con varias sedes, la firma en la nube simplifica altas, bajas y control de uso, porque el certificado no circula como archivo. Para valores por cantidad de certificados, revisa la página de precios o solicita una cotización corporativa.
Coordinación del proceso, no solo el archivo firmado
El grupo también desarrolla Omnifox, una plataforma omnicanal que reúne WhatsApp, correo, redes sociales y llamadas en una sola bandeja compartida. El uso compartido casi siempre nace de un pedido urgente que llegó por chat privado y que nadie más podía atender. Con una bandeja compartida, esas solicitudes quedan asignadas al firmante correcto, con historial y con estado visible, en lugar de resolverse prestando credenciales. Más información en omnifox.io.
Preguntas frecuentes
¿Es válido un documento firmado por un empleado con el certificado de otra persona?
Técnicamente el archivo aparecerá firmado por el titular del certificado y producirá efectos frente a terceros. Los efectos concretos y la posibilidad de desconocer el acto dependen del caso y deben analizarse con asesoría legal.
¿La empresa puede sancionar a quien usó una firma ajena?
Depende de que exista política escrita, comunicada y aceptada, y del marco laboral aplicable. Sin esa base documental la posición de la empresa es débil, por eso conviene formalizarla antes de que ocurra un incidente.
¿Qué hago si un empleado que ya salió conoce la clave del certificado?
Solicita la revocación del certificado a la entidad emisora y emite uno nuevo. Cambiar solo la clave de acceso a los sistemas no basta si la persona pudo copiar el archivo.
¿Se puede saber quién firmó realmente cuando se comparte un certificado?
No a partir del documento. Solo podría inferirse por registros externos, como bitácoras del sistema o accesos, si es que existen. Esa es la razón principal para no compartirlo.
¿La firma en la nube resuelve el problema?
Lo reduce mucho, porque no hay un archivo que se pueda copiar y cada uso queda registrado con el usuario que lo autorizó. La política interna sigue siendo necesaria para prohibir compartir credenciales de acceso.
Si en tu empresa hay certificados compartidos y quieres ordenar quién firma qué, conversa con un asesor corporativo de Firmas.com.ec. Solicita tu cotización corporativa.