Quién modificó este dato: el registro de auditoría que su empresa no tiene

Alguien pregunta por qué el margen del trimestre bajó dos puntos. Se abre el archivo. Alguien nota que la columna de descuentos tiene valores que el mes pasado no estaban.

Y entonces empieza la parte cara: averiguar quién los puso ahí.

La reconstrucción arqueológica

Lo que sigue lo conoce cualquiera que haya trabajado con datos en una empresa mediana.

Se busca el archivo. Hay cuatro: ventas_final.xlsx, ventas_final_v2.xlsx, ventas_final_v3_REVISADO.xlsx y uno sin sufijo que alguien guardó en otra carpeta. Las fechas de modificación no ayudan: abrir un archivo de Excel y cerrarlo ya la cambia.

Se pregunta por el chat del área. Dos personas creen recordar algo. Una tercera dice que ella no fue.

Tres días después, la conclusión más común no es «fue Fulano». Es «no sabemos, pero ya lo corregimos». El número quedó bien y la pregunta quedó sin responder — lo que garantiza que vuelva a pasar.

Auditoría no es vigilancia

Conviene desactivar esto de entrada, porque es la primera objeción que aparece cuando se propone un registro de auditoría: «¿entonces me van a estar controlando?».

El registro no existe para señalar culpables. Existe porque una cifra que no se puede explicar no se puede defender, y quien la presenta queda expuesto sin tener cómo respaldarse.

Fíjese en quién gana realmente con un registro completo: la persona que hizo el trabajo bien. Sin registro, cuando algo falla, la sospecha se reparte entre todos los que tocaron el archivo. Con registro, se sabe exactamente qué hizo cada quien — y la mayoría hizo justo lo que debía.

Es lo mismo que pasó con el control de versiones en el software. Nadie lo instaló para saber a quién regañar; se instaló porque sin él, un cambio que rompía algo era imposible de localizar. Que además diga quién lo escribió es una consecuencia, no el propósito.

Qué tiene que registrar para que sirva

Un registro que solo anota «archivo modificado» no resuelve nada. Para que una cifra se pueda explicar, cada evento necesita cinco datos:

• Quién. La persona, identificable meses después.
• Qué. La acción concreta, no una categoría vaga.
• Sobre qué. El objeto exacto: este archivo, esta receta, este modelo, este token.
• Cuándo. Fecha y hora, no «el mes pasado».
• Desde dónde. La dirección de origen, que es lo que separa un acceso normal de uno que no lo es.

Y hay una sexta condición, la que casi nadie contempla hasta que le duele.

El detalle que se descubre demasiado tarde

Un registro guarda normalmente una referencia al usuario: un identificador que apunta a la tabla de personas.

Funciona perfecto hasta el día en que esa persona sale de la empresa y su cuenta se elimina. Entonces la referencia apunta a nada, y el registro empieza a decir cosas como «el usuario 8f2a-… ejecutó esta limpieza». Técnicamente el evento sigue ahí. Prácticamente, se volvió ilegible justo en el caso que más importaba: cuando hay que reconstruir qué hizo alguien que ya no está.

Lo mismo pasa con los objetos. Si el registro solo guarda el identificador del archivo y alguien lo renombra o lo borra, los eventos quedan hablando de algo que nadie puede ubicar.

La solución es sencilla y hay que tomarla desde el principio: el registro guarda también una instantánea del correo de quien actuó y del nombre que el objeto tenía en ese momento. No una referencia que se puede romper: el texto, congelado.

Un registro de auditoría que depende de que nada haya cambiado no es un registro de auditoría.

En Lorian Analytics cada evento guarda esa instantánea del correo y del nombre junto a la referencia. El registro sigue siendo legible aunque la persona ya no exista en el sistema y aunque el archivo se haya renombrado tres veces.

Lo que casi nadie registra: quién se lo llevó

Cuando se habla de auditoría, todo el mundo piensa en modificaciones. Pero hay una categoría de evento que importa igual y suele faltar: las descargas.

Saber quién modificó un dato sirve para explicar una cifra. Saber quién lo descargó sirve para algo distinto y más delicado: saber por dónde salió la información de la empresa.

Es la pregunta que aparece cuando alguien renuncia y se va a la competencia, cuando un cliente pregunta qué se hizo con sus datos, o cuando un auditor pide demostrar quién accedió a qué. Sin ese evento registrado, la respuesta honesta es «no tenemos forma de saberlo».

En Lorian Analytics se registran las descargas por formato —CSV, Excel, el reporte, el resultado de un modelo— junto con el resto de los 43 tipos de evento que cubre el sistema: cargas, análisis, limpiezas, recetas creadas y aplicadas, modelos ejecutados, tableros modificados, tokens emitidos y revocados, agentes emparejados y revocados, cambios de plan e invitaciones retiradas.

Y una precisión que conviene decir en voz alta: el registro nunca guarda el secreto. Cuando se emite un token de acceso o se empareja un agente, queda constancia del acto —quién lo hizo y cuándo— pero jamás el código ni el token. Un registro de auditoría que guardara credenciales sería, él mismo, el problema de seguridad más grande de la plataforma.

Auditoría y versiones no son lo mismo

Se confunden todo el tiempo y hacen falta las dos.

Con solo versiones sabe qué cambió, pero no quién ni con qué intención. Con solo auditoría sabe quién actuó, pero no puede recuperar el estado anterior. Juntas responden la pregunta completa: qué decía antes, quién lo tocó, y cómo vuelvo.

Lo que cambia en la práctica

No es que aparezca un tablero nuevo que nadie mira. Es que una conversación cambia de forma.

Hoy, cuando una cifra se cuestiona, empieza una investigación: se pregunta por chat, se abren archivos, se reconstruye de memoria. Toma días y termina en una conclusión aproximada.

Con el registro, esa misma pregunta se responde abriendo el historial del dato: la limpieza la ejecutó tal persona el 14 a las 07:12, con tal receta, y descargó el resultado en Excel a las 07:20. No hay que creerle a nadie ni pedirle a nadie que recuerde.

Y lo que se nota al tercer mes: la gente deja de preguntar. No porque se prohíba, sino porque cuando la respuesta siempre existe y siempre es rápida, la desconfianza se apaga sola.

En Lorian Analytics el registro de auditoría cubre 43 tipos de evento, guarda instantánea del correo y del nombre para que siga siendo legible con el tiempo, incluye las descargas y nunca almacena secretos. Puede ver cómo funciona la auditoría, o seguir con la siguiente de las seis preguntas: qué versión se está usando.