Hay una pregunta que el auditor formula con regularidad inquietante en organizaciones que se presentan como técnicamente serias. La pregunta es esta · quién decidió esto.
Las respuestas llegan en orden previsible · lo decidió el comité, lo aprobó la gestión anterior, lo determinó el equipo técnico. Cuando insisto por la persona específica, aparece el silencio. O aparece la rotación. O aparece el funcionario que ya no está.
La opacidad institucional con apariencia de gobernanza
Lo que esas respuestas describen tiene nombre técnico · opacidad institucional con apariencia de gobernanza. La organización tiene políticas, comités, actas, reportes — y detrás de las decisiones críticas no hay actores identificables. Esa opacidad rara vez es corrupción. Casi siempre es una forma cultural de cubrir riesgo individual a expensas de la trazabilidad colectiva. Si nadie firma, nadie sostiene. Si nadie sostiene, nadie puede ser interpelado.
Este criterio desarrolla el actor del Criterio 02. DORA asigna al órgano de dirección la responsabilidad final sobre el riesgo TIC en las entidades financieras alcanzadas; las tareas operativas pueden distribuirse, la responsabilidad de gobierno permanece (art. 5). En otro contexto, la FCA confirmó la inhabilitación y una multa de 1,1 millones de libras al ex director ejecutivo de Barclays por falta de integridad y declaraciones engañosas (FCA, 2025). Los dos expedientes muestran lo mismo desde planos distintos · el organigrama no disuelve la responsabilidad que la regulación asigna.
Patologías de la firma
Patología 01 · la firma colectiva sin firmante real. El documento dice aprobado por el comité. Siete miembros. Ninguno asume individualmente. Si la decisión sale mal, el costo se reparte hasta volverse invisible. El acta existe. La responsabilidad individual quedó diluida en el diseño.
Patología 02 · la firma rotada que rompe la trayectoria. Las decisiones se firman, pero el firmante cambia cada seis meses. Tres años después, ninguno de los que firmaron sigue en la organización. La trazabilidad existe en papel y es operativamente inalcanzable · la decisión crítica la firmó alguien sin obligación de responder y, probablemente, sin memoria del contexto.
Patología 03 · la firma del consultor que concluyó el proyecto. El consultor externo firma el informe, cobra los honorarios, cierra el contrato. Tres años después, cuando el incidente remite a su recomendación, el vínculo contractual ya expiró. Su firma fue real en su momento. Hoy es tinta sin obligación detrás.
Cuando decide una máquina
La pregunta de esta década es directa · si un agente de IA tomó la decisión técnica, ¿quién es el responsable identificable? La doctrina responde sin misterio · el responsable de la decisión automatizada es quien la dejó automatizarse. Quien definió los umbrales. Quien aprobó el despliegue. Quien tenía autoridad para frenarla y eligió no mirarla. La IA puede decidir rápido. No puede hacerse cargo.
El esquema australiano Robodebt llevó esa pregunta al expediente público. La Comisión Real documentó fallas de diseño, legalidad, asesoramiento y supervisión alrededor de una decisión automatizada (Robodebt, 2023). El sistema ejecutaba; las decisiones que lo habilitaron y mantuvieron siguieron siendo humanas e institucionales.
La regla operativa exige un responsable por el sistema y una bitácora proporcional al impacto · datos de entrada relevantes, resultado, versión, controles aplicados, revisión humana cuando corresponda y autoridad para intervenir. No toda salida requiere firma individual; toda arquitectura de decisión necesita una función responsable identificable.
La IA puede decidir rápido. No puede hacerse cargo.
Los campos del profesional verificable
El responsable identificable es más que un cargo en un organigrama · es un profesional verificable. Cinco campos consultables lo definen.
Campo 01 · identidad acreditada. Nombre verificable, función declarada. Sin este campo, los otros cuatro no tienen dónde apoyarse.
Campo 02 · trayectoria documentada. Proyectos firmados, informes con autoría identificable, funciones con fechas y organizaciones verificables. La trayectoria se demuestra con autoría acumulada y consultable — no con la extensión del currículum.
Campo 03 · vigencia técnica. Última actualización formal con fecha, tema y profundidad suficiente para el rol. La competencia no se presume por antigüedad ni por el nombre del cargo; se demuestra contra las decisiones que la función debe tomar.
Campo 04 · evidencia operativa. Proyectos con rol específico · cuál organización — o cuál sector, si media confidencialidad — qué proyecto, qué resultado documentado, cuándo.
Campo 05 · vigencia ética. Conflictos de interés relevantes declarados y antecedentes verificables dentro de los límites de privacidad y confidencialidad aplicables.
Una firma electrónica o criptográfica puede vincular identidad, documento y fecha cuando la infraestructura y la gestión de claves son confiables. No reemplaza la autoridad ni la competencia del firmante. Primero debe existir alguien facultado para responder; después se elige cómo preservar la evidencia de su firma.
El test del criterio
Identifique una decisión técnica relevante firmada en el último trimestre bajo su dirección. Busque la firma y aplique tres verificaciones.
Verificación uno · ¿el firmante sigue en la organización — o la decisión tiene sucesor documentado, con acta de transferencia y fecha? Respuesta esperada · sí, en cualquiera de las dos formas.
Verificación dos · ¿la autoridad del firmante para esa decisión estaba documentada antes de la decisión? Respuesta esperada · una delegación formal con fecha anterior a la firma. La autoridad reconstruida después del hecho es la patología uno con mejores modales.
Verificación tres · ¿el firmante puede ser interpelado hoy · existe una obligación vigente, contractual o funcional, de responder por esa decisión? Respuesta esperada · sí, con canal documentado.
Las tres respuestas permiten reconstruir la responsabilidad. Una vacante no prueba por sí sola una falla material, pero muestra exactamente dónde la decisión perdió dueño y qué debe corregirse.
La responsabilidad técnica necesita funciones identificables, autoridad documentada y una vía para exigir respuesta.
Fernando Arrieta
