Source: Deutsche Nachrichten
Cuando una persona cambia de puesto dentro de una empresa, casi todo se actualiza. Cambia el cargo en el organigrama, el salario, los objetivos, los permisos en los sistemas y, muchas veces, hasta la notebook. Hay algo que rara vez vuelve a mirarse con la misma atención: si los controles realizados cuando esa persona ingresó siguen siendo adecuados para la función que ahora ocupa.
Pensemos en un caso hipotético, pero perfectamente habitual en cualquier empresa mediana argentina. Alguien entra en 2022 como analista administrativo junior. El proceso de ingreso fue correcto: se verificó identidad, experiencia, formación y algunas referencias pertinentes al puesto, todo proporcional a una función sin acceso a información sensible ni capacidad de decisión sobre fondos. En 2024 cambia de área. En 2026 es promovida: ahora puede aprobar pagos, interactúa directamente con proveedores, visualiza información financiera confidencial y administra ciertos accesos dentro de los sistemas de la compañía. La empresa actualizó el puesto, el salario, el equipo de trabajo y los permisos técnicos. La pregunta que casi nunca se hace explícita es si también actualizó los controles asociados a ese nuevo nivel de riesgo. No hay una respuesta automática ni una obligación legal genérica de repetir un background check completo cada vez que alguien asciende: eso depende del marco jurídico aplicable y de una decisión de gestión de riesgo, no de un mandato uniforme. Pero la pregunta conceptual sigue siendo válida, y la mayoría de las empresas nunca la formalizó.
El motivo por el que rara vez se la hace tiene que ver con cómo históricamente se pensó el background check: como una fotografía tomada en un momento puntual, previa a la contratación, que en la práctica se asume válida para toda la relación laboral. El problema no es que esa fotografía haya estado mal tomada. El problema es asumir que sigue describiendo el mismo riesgo tres, cinco o diez años después, cuando la función de esa persona —lo que puede autorizar, a qué información accede, a quién supervisa, con qué proveedores interactúa, cómo representa a la empresa frente a terceros— cambió por completo.
A esto se suma un segundo eje, distinto pero relacionado: las actividades laborales que una persona puede tener por fuera de su empleo principal. Alguien puede dar clases, tener un emprendimiento propio, participar en otra sociedad, hacer trabajos freelance o asesorar externamente a otra empresa, y ninguna de esas situaciones constituye, por sí sola, un problema. Tener una segunda actividad no es un conflicto de interés automático, y tratarlo como tal sería tanto injusto como jurídicamente insostenible. La pregunta correcta no es si una persona tiene otra ocupación, sino cuándo esa actividad —que sigue siendo un asunto legítimo y en principio privado— empieza a tener relevancia objetiva para la función que esa persona cumple dentro de la empresa. Un desarrollador que hace proyectos freelance en su tiempo libre no representa, en la mayoría de los casos, ningún problema. Un responsable de compras que tiene participación societaria en una empresa que después empieza a aparecer como proveedor de su propio empleador sí plantea una pregunta que merece atención. La diferencia no está en tener una segunda actividad, sino en si esa actividad se cruza de manera concreta con las responsabilidades del puesto.
Acá conviene no mezclar conceptos que en la conversación cotidiana de RR.HH. suelen usarse como sinónimos y no lo son. La Ley de Contrato de Trabajo distingue con bastante claridad estos deberes. El artículo 84 establece el deber de diligencia: prestar el servicio con puntualidad, asistencia regular y dedicación adecuada a las características del empleo. El artículo 85 establece el deber de fidelidad, que en su redacción vigente no impone exclusividad laboral, sino la obligación de guardar reserva o secreto sobre la información a la que el trabajador tiene acceso en función de las tareas que tiene asignadas. Y el artículo 88 establece el deber de no concurrencia, que tampoco prohíbe tener otra ocupación: exige abstenerse de realizar negociaciones por cuenta propia o ajena que puedan afectar los intereses del empleador, salvo que este las autorice. Ninguno de estos tres artículos convierte a la exclusividad laboral en una regla general, y no se identificaron modificaciones sustanciales a su contenido tras la reforma laboral de 2026. Lo que sí exigen, cada uno desde su ángulo, es que la conducta del trabajador no dañe de forma concreta al empleador ni exponga información reservada más allá de lo que la función amerita. Tener una segunda actividad, entonces, es distinto de tener un conflicto de interés, que a su vez es distinto de competir directamente con el empleador, que a su vez es distinto de incumplir el deber de fidelidad. Son situaciones que pueden solaparse, pero conceptualmente no son lo mismo, y conviene analizarlas caso por caso en función del puesto y la evidencia concreta, no de una sospecha genérica.
El límite de todo esto, del lado de la empresa, no es solamente laboral: es también de protección de datos. La Ley 25.326 exige que cualquier información personal recolectada tenga una finalidad determinada, sea pertinente para esa finalidad y no resulte excesiva, y reconoce el derecho del titular a ser informado sobre qué se recolecta y para qué. Aplicado a este tema, el criterio que debería guiar cualquier verificación posterior al ingreso no es “¿qué podemos averiguar sobre esta persona?”, sino “¿qué cambió en su función, qué riesgo nuevo apareció por ese cambio, y qué información resulta realmente necesaria para evaluar ese riesgo puntual?”. Es una diferencia de enfoque relevante: la primera pregunta habilita una exploración sin límites claros; la segunda acota la verificación a lo que la nueva responsabilidad efectivamente justifica.
Esa distinción también permite separar dos cosas que suelen confundirse: revalidar controles cuando cambia el riesgo, y vigilar de manera permanente a una persona. No son lo mismo, y el segundo enfoque es tanto invasivo como conceptualmente pobre. Lo que tiene sentido explorar no es un monitoreo continuo de la plantilla, sino la posibilidad de que determinados controles se evalúen cuando ocurre un evento concreto que modifica el riesgo: una promoción a una posición sensible, un cambio relevante de responsabilidades, el acceso a información especialmente crítica, la facultad de aprobar pagos, la incorporación a un directorio o una función fiduciaria, un acceso privilegiado a sistemas, la responsabilidad sobre proveedores, o la aparición de un conflicto de interés declarado. Ninguno de esos eventos habilita automáticamente cualquier verificación: la pertinencia de cada control sigue dependiendo del contexto, de la función y del marco legal aplicable, no de una regla uniforme.
Hay un concepto de seguridad de la información que ilustra bien por qué el riesgo no depende solamente de quién es la persona, sino también de qué puede hacer dentro de los sistemas de la empresa. En la literatura de gestión de accesos se lo conoce como privilege creep o access creep: la acumulación gradual de permisos que ocurre cuando alguien cambia de puesto varias veces y conserva, sin que nadie lo note, los accesos de sus funciones anteriores además de los nuevos. Con el tiempo, una persona completamente legítima puede terminar teniendo un nivel de acceso desproporcionado respecto de lo que su puesto actual realmente requiere, simplemente porque nadie revisó y dio de baja los permisos que ya no correspondían. La forma habitual de abordarlo no es sospechar de quien acumuló esos accesos, sino aplicar el principio de privilegio mínimo y revisiones periódicas de acceso, dando de baja lo que sobra. Es exactamente la misma lógica que debería aplicarse, del lado de RR.HH. y Compliance, a la pregunta sobre qué verificaciones siguen siendo pertinentes: no es un juicio sobre la persona, es una actualización del control frente a un contexto que cambió.
En algunos países esta discusión ya tiene evidencia concreta. Una investigación de SHRM entre miles de profesionales de recursos humanos encontró que, si bien el 87% de las organizaciones releva antecedentes antes de contratar, solo un 15% hace un rescreening periódico y apenas un 13% verifica de nuevo ante eventos puntuales como un cambio de función o una promoción; la práctica de un monitoreo verdaderamente continuo resultó minoritaria, cercana al 4% de los encuestados. Ese dato —proveniente de un contexto internacional, no de un relevamiento argentino— sugiere que buena parte del sector todavía trata la verificación post-ingreso como una excepción, y que el debate sobre pasar de un esquema periódico e indiscriminado a uno basado en eventos concretos recién está tomando forma. No existe evidencia suficiente para presentarlo como una tendencia ya consolidada, pero sí como una dirección que empieza a discutirse.
En la Argentina, esta conversación resulta particularmente relevante en sectores donde los cambios de función suelen implicar saltos reales de riesgo: finanzas y fintech, energía e infraestructura crítica, software y servicios de tecnología, salud, seguridad privada, compras y administración de proveedores, y auditoría interna. En ninguno de esos sectores existe una obligación regulatoria genérica que exija repetir verificaciones ante cada cambio de puesto; lo que sí existe es un margen amplio de buena práctica y gestión de riesgo, que cada organización puede decidir formalizar según su propia política interna y el marco legal específico que le corresponda.
Pensar la contratación como una cadena, y no como un trámite de ingreso, ayuda a ordenar esta discusión: preselección, verificación previa, incorporación, cambio de función, nuevos accesos, promoción, aparición eventual de una ocupación secundaria o un conflicto de interés, revalidación cuando corresponde, y finalmente la desvinculación. El riesgo humano, en ese esquema, no es una característica fija de una persona: surge de la combinación entre esa persona, la función que ocupa, el contexto en el que opera y el acceso que tiene. Que alguien pase a ocupar un puesto donde ciertas verificaciones se vuelven pertinentes no significa que se haya vuelto sospechoso. Significa que cambió el contexto en el que se desempeña.
Empresas especializadas en background screening y gestión de riesgo humano, como Validato, vienen incorporando esta lógica a su forma de pensar el servicio: entender la verificación no exclusivamente como un trámite previo a la contratación, sino como un proceso que puede asociarse al nivel de responsabilidad y riesgo de cada función a lo largo de la relación laboral. Eso no implica monitorear de forma permanente a nadie ni acceder a información privada por fuera de lo que cada verificación puntual requiere: implica, simplemente, tener presente que el mismo puesto puede justificar controles distintos según el momento de la relación laboral en el que se encuentre.
Una empresa no necesita saber permanentemente más cosas sobre sus empleados. Necesita saber cuándo un cambio de función vuelve relevante información que antes no lo era. El mejor on-employment check no es el que controla más. Es el que sabe cuándo tiene sentido volver a verificar.
Fuentes y marco normativo consultado: Ley de Contrato de Trabajo N° 20.744, artículos 84 (deber de diligencia), 85 (deber de fidelidad) y 88 (deber de no concurrencia), texto vigente; Ley N° 27.802 de Modernización Laboral (Boletín Oficial, marzo de 2026), en cuanto a la ausencia de modificaciones identificadas sobre los artículos citados; Ley N° 25.326 de Protección de Datos Personales, artículos 2, 4, 7 y 14; SHRM, investigación sobre prácticas de background screening continuo y rescreening entre profesionales de recursos humanos; TechTarget, definición de privilege creep / access creep en gestión de identidades y accesos (IAM).