Source: Deutsche Nachrichten
El acceso funcionaba exactamente como debía
En mayo de 2025, un empleado de Banco Nación de 30 años quedó a disposición de la Justicia, según se informó, por utilizar su acceso a la red del banco para consultar datos sensibles de clientes que luego una organización utilizaba para retirar fondos suplantando su identidad. Lo que hizo que esos movimientos no levantaran sospechas, de acuerdo con lo reportado, no fue una falla técnica ni una intrusión externa: fue que la misma persona podía, según se investiga, tanto acceder a la información del cliente como intervenir en la aprobación de las operaciones vinculadas a esa cuenta. El caso —todavía bajo investigación, sin que trascendiera un procesamiento firme— involucró denuncias de clientes en sucursales de Buenos Aires, Morón y Pilar, con un monto inicial reportado de 28.000 dólares retirados de una sola cuenta mediante suplantación de identidad.
No es el primer caso de este tipo en la banca pública argentina. En septiembre de 2023, el Juzgado Federal de Garantías N° 1 de Jujuy, a cargo del juez Eduardo Hansen, condenó a Roberto Gonzalo Mendoza, empleado de la sucursal San Pedro de Banco Nación, a tres años de prisión en suspenso e inhabilitación especial perpetua para ejercer cargos públicos, según informó el Ministerio Público Fiscal. Mendoza se desempeñaba como operador de plataforma y asistente de gerencia, y utilizó esa doble función —según estableció la sentencia— para otorgar préstamos no autorizados que derivaba a cuentas propias y de terceros, generar cuentas en la aplicación BNA+ a nombre de clientes sin su consentimiento fotografiando sus selfies y documentación, y falsificar certificados de plazo fijo con firmas apócrifas de directivos. Estafó a 27 clientes, 23 de ellos jubilados, por más de 4 millones de pesos; el banco debió reintegrar 1,8 millones de pesos por operaciones fraudulentas.
Ambos casos comparten un mismo mecanismo, más allá de que uno tenga sentencia firme y el otro siga bajo investigación: en ninguno de los dos hizo falta vulnerar ninguna contraseña. Hizo falta, en cambio, que una sola persona pudiera cumplir dos funciones que, en cualquier diseño de control razonable, deberían estar separadas: quien carga o consulta una operación no debería ser, al mismo tiempo, quien la aprueba o ejecuta.
La diferencia entre confiar en alguien y limitar lo que puede hacer
La verificación de identidad y antecedentes de una persona responde una pregunta: ¿es quien dice ser y tiene una trayectoria consistente con el puesto? El diseño de privilegios de acceso responde una pregunta distinta: una vez que esa persona confiable está adentro, ¿qué puede ver, aprobar, modificar o borrar, y hace falta una segunda persona para que una operación se concrete? Son dos capas de gestión de riesgo que no se sustituyen entre sí. Una organización puede haber verificado exhaustivamente a alguien —“es de la casa, lleva veinte años acá”, “nunca dio problemas”, “lo conoce el gerente de sucursal”— y, aun así, haberle dado, por diseño del puesto, la capacidad de iniciar y aprobar la misma operación sin que nadie más intervenga. El problema, en ese caso, no es de quién se contrató: es de qué se le permitió hacer solo, sin control cruzado, una vez contratado.
Lo que la normativa argentina exige, y a quién
En el sector financiero, el Banco Central de la República Argentina tiene, dentro de sus lineamientos para la gestión del riesgo operacional, disposiciones orientadas a esta lógica de separación, aunque acotadas a un objetivo puntual: el punto 2.4.5 establece que debe existir independencia entre la unidad o persona responsable de la gestión del riesgo operacional y las unidades de negocio involucradas, y el punto 2.1.8 exige verificar que quienes gestionan ese riesgo no desarrollen otras tareas en áreas que puedan generar conflictos de interés. Son exigencias de independencia organizacional para la función de gestión de riesgo, no una norma general que obligue, artículo por artículo, a separar quién carga una operación de quién la aprueba en cada proceso bancario; esa separación de funciones a nivel operativo suele resolverse, en la práctica, mediante los propios sistemas y manuales de procedimiento internos de cada entidad, antes que por una norma puntual del regulador.
Para las sociedades que hacen oferta pública de sus acciones, existe además el Código de Gobierno Societario de la Comisión Nacional de Valores, que desde su reforma de 2018 funciona bajo el esquema “aplique o explique”: no es una obligación legal en sentido estricto, sino un régimen de divulgación en el que la empresa debe informar si sigue cada práctica recomendada o explicar por qué no lo hace, entre ellas contar con sistemas de control interno y de gestión de riesgos. Y la Ley 27.401 de Responsabilidad Penal Empresaria, aplicable a personas jurídicas privadas en general, prevé entre los elementos de un programa de integridad el análisis de riesgo periódico y las actividades de monitoreo y auditoría interna, sin imponer, tampoco, un diseño específico de segregación de funciones para cada proceso. Ninguna de estas tres normativas —BCRA, CNV, Ley 27.401— exige, en términos operativos y detallados, que una empresa argentina separe por diseño quién inicia, quién aprueba y quién ejecuta cada tipo de operación: todas apuntan a principios generales de control interno y dejan ese diseño concreto en manos de cada organización.
Pensar el privilegio, no solo la persona
Human Risk Management, entendido como la gestión estructurada del riesgo asociado a personas, funciones, accesos y decisiones —y no como una sospecha genérica hacia quien ya trabaja en la empresa—, es útil acá para separar dos preguntas que suelen mezclarse: una es si la persona es confiable, y la otra es si el puesto que ocupa la deja, por diseño, en condiciones de hacer daño sin que nadie más lo note. La primera pregunta se resuelve con procesos de verificación proporcionales al rol; la segunda se resuelve con arquitectura de permisos, revisión periódica de accesos y control cruzado en las funciones de mayor exposición —manejo de fondos, aprobación de operaciones, administración de cuentas de clientes—, que es una decisión de gobierno corporativo y de sistemas, no de background screening. Validato, compañía especializada en Background Screening y Human Risk Management con operación en Argentina, describe sus procesos de verificación como estructurados en función del rol y el nivel de riesgo de cada puesto; ese principio de proporcionalidad ayuda a decidir con qué profundidad verificar a una persona, pero no reemplaza la revisión de qué privilegios de sistema tiene esa persona una vez incorporada, que es una responsabilidad distinta y complementaria, sin que exista vínculo alguno entre la compañía y los casos de Banco Nación mencionados en este artículo.
La pregunta que no se resuelve verificando mejor a la gente
Los dos casos de Banco Nación, con distinto grado de avance judicial, muestran algo que ninguna verificación de antecedentes, por rigurosa que sea, puede resolver por sí sola: si el diseño del puesto permite que una sola persona controle de punta a punta una operación sensible, tarde o temprano alguien —confiable o no al momento de ser contratado— va a estar en condiciones de aprovecharlo. Para RR.HH., Compliance, Legal y Seguridad, la pregunta que conviene hacerse no es únicamente si confían en las personas que ya trabajan en la organización, sino si alguna de ellas, hoy, puede iniciar y aprobar la misma operación sin que nadie más intervenga.
Fuentes y marco normativo consultado
[*]LMNeuquén, “Escándalo en el Banco Nación: atraparon a un empleado que vaciaba las cuentas bancarias” (14/5/2025): https://www.lmneuquen.com/pais/escandalo-el-banco-nacion-atraparon-un-empleado-que-vaciaba-las-cuentas-bancarias-n1190632
[*]Ministerio Público Fiscal de la Nación, “Jujuy: condenan a un empleado bancario que estafó por más de 4 millones de pesos a 27 clientes” (fiscales.gob.ar), sobre sentencia del Juzgado Federal de Garantías N° 1 de Jujuy (septiembre de 2023): https://www.fiscales.gob.ar/acusatorio/jujuy-condenan-a-un-empleado-bancario-que-estafo-por-mas-de-4-millones-de-pesos-a-27-clientes/
[*]Banco Central de la República Argentina, “Lineamientos para la gestión del riesgo operacional en las entidades financieras” (texto ordenado), puntos 2.1.8 y 2.4.5: https://www.bcra.gob.ar/archivos/Pdfs/texord/t-rieope.pdf
[*]Comisión Nacional de Valores, Resolución General 778/2018, reforma del Código de Gobierno Societario bajo el esquema “aplique o explique”: https://www.argentina.gob.ar/normativa/nacional/resoluci%C3%B3n-778-2018-318196/texto
[*]Ley 27.401, de Responsabilidad Penal de las Personas Jurídicas, art. 23 (elementos de un programa de integridad: análisis de riesgo periódico, monitoreo y auditoría interna): https://www.argentina.gob.ar/normativa/nacional/ley-27401-296846
[*]Validato, descripción de servicios de Background Screening y Human Risk Management estructurados por rol en Argentina: https://validato.ch/ar-en/human-risk