Crear, autorizar, ejecutar: las tres acciones que definen si tu tesorería está bajo control

El pago salió un martes. La pregunta llegó tres meses después. Así empiezan muchas historias en las áreas de finanzas de empresas medianas mexicanas: una auditoría, un cierre contable o un cliente corporativo que pide evidencia, y de pronto alguien tiene que responder algo que suena simple: ¿quién autorizó ese pago de 85 mil dólares al proveedor de Ohio?

La respuesta existe. El problema es que no vive en un solo lugar. Vive en un WhatsApp del director, en un correo con el asunto "ok, procede", en la memoria de la persona de tesorería que capturó la operación en el portal del banco. Reconstruirla toma días. Y mientras tanto, la sensación es incómoda para todos: el dinero se movió, pero nadie puede demostrar, con un clic, cómo se decidió moverlo.

Tres verbos que casi nadie separa

Toda operación financiera tiene tres momentos. Alguien la crea: captura el beneficiario, el monto, la divisa. Alguien la autoriza: valida que efectivamente debe salir. Y alguien la ejecuta: la libera para que el dinero se mueva.

En un corporativo grande, esos tres verbos corresponden a personas distintas, con permisos distintos, y cada paso queda registrado con fecha, hora y usuario. Se llama segregación de funciones y es la base de cualquier control interno serio.

En la empresa mediana, esos tres verbos suelen colapsar en una o dos personas. El token del banco vive en el cajón del director de finanzas. La contraseña, "por si acaso", también la conoce la contadora. Las autorizaciones se dan de palabra, por teléfono o por mensaje. Y no es por descuido: es porque la operación no puede esperar y porque las herramientas disponibles nunca facilitaron hacerlo mejor.

Cómo se ve el problema en la operación real

Una manufacturera de autopartes en el Bajío paga cada quincena a 25 proveedores en Estados Unidos. Tesorería captura los pagos uno por uno en el portal bancario; la autorización es un "va" del CFO en el pasillo. Cuando un monto sale mal o un beneficiario aparece duplicado, no hay manera de saber en qué paso se originó el error ni quién lo validó.

Un importador de maquinaria recibe un correo de su proveedor en el extranjero: "cambiamos de banco, esta es la nueva cuenta". Es uno de los fraudes más comunes del comercio internacional —la suplantación de proveedor— y la defensa real no es la intuición: es un proceso donde dar de alta o modificar un beneficiario requiere una segunda validación, de otra persona, con registro. Cuando crear y ejecutar son la misma acción de la misma persona, ese anticipo del 40% se va. Y no regresa.

Un agroexportador en plena temporada: el dueño autoriza todo, pero el dueño está en una feria en California. La solución práctica de siempre es compartir el token. Funciona, hasta que un auditor —o un cliente que audita a sus proveedores, algo cada vez más frecuente en cadenas de exportación— pregunta quién tiene acceso a las cuentas de la empresa. Y nadie quiere levantar la mano.

Lo que cuesta no poder responder

La falta de trazabilidad se paga de varias formas, casi todas silenciosas. Auditorías más largas y más caras, porque reconstruir evidencia consume horas de tu equipo y del despacho. Certificaciones y contratos en riesgo, porque los clientes grandes ya exigen controles internos documentados a sus proveedores. Exposición al fraude, interno y externo, porque una sola persona puede crear, autorizar y ejecutar sin que nadie más se entere. Y una dependencia peligrosa de individuos: si la persona que "sabe cómo se hacen los pagos" se enferma, renuncia o se va de vacaciones, la operación se detiene o se improvisa.

Cómo se ve la trazabilidad bien hecha

No se trata de llenar la operación de candados. Se trata de cuatro cosas concretas: usuarios con roles y permisos propios, en lugar de un token compartido. Flujos de autorización definidos por monto, divisa o tipo de beneficiario. Una bitácora automática e inalterable que registre quién creó, quién autorizó y quién ejecutó cada operación. Y que todo eso sea consultable en minutos, no en días de arqueología en el correo.

Bien diseñada, la trazabilidad no burocratiza: acelera. Autorizar un pago desde el teléfono, con dos toques y registro automático, es más rápido que dictar una clave por teléfono desde una feria en otro país.

Ese es exactamente el estándar con el que construimos EFEX: una plataforma de tesorería internacional para la empresa mediana mexicana, donde cada usuario tiene su rol, cada operación sigue el flujo de aprobación que tú defines y cada paso queda registrado y disponible al instante — con regulación de la CNBV en México y licencias en Estados Unidos, para que el control también le dé tranquilidad a tu auditor.

La próxima vez que alguien pregunte "¿quién autorizó este pago?", la respuesta debería tomar 30 segundos. No tres días.