Si se pregunta en una empresa mediana ecuatoriana quién tiene la clave del representante legal para el portal del SRI, la respuesta suele ser una enumeración: el contador, la asistente, a veces un asesor externo. Es la práctica más extendida del país en materia de acceso digital y también la peor.
El problema no es de confianza, es de atribución. Todo lo que se hace con esa clave queda a nombre del representante legal. Si una declaración se presenta mal, si un dato se actualiza cuando no debía, si alguien consulta información que no le correspondía, no hay forma de establecer quién lo hizo: el registro dice que fue el representante. Esa ausencia de rastro es un problema disciplinario interno y también probatorio si el asunto escala.
La consecuencia operativa aparece cada vez que alguien se va. Cuando cambia el contador, hay que cambiar la clave y redistribuirla entre todos los que la usaban, y en ese intervalo el trabajo se detiene o —lo habitual— la clave vieja sigue circulando un tiempo más.
La alternativa está disponible y no cuesta nada: el portal del SRI permite crear usuarios adicionales con permisos acotados. Cada persona entra con su propio acceso, hace solo aquello para lo que fue habilitada y su actividad queda registrada a su nombre. Cuando esa persona deja la organización, se revoca su usuario y nada más cambia.
La firma electrónica merece un párrafo aparte porque la confusión es frecuente. La firma es personal e identifica a quien firma con efectos jurídicos: no es una credencial de sistema y no se presta. Entregar el dispositivo o el archivo de firma a otra persona equivale a autorizarla a obligar a la empresa —o a uno mismo— en cualquier documento. Cuando alguien debe poder actuar en nombre de otro, la figura correcta es el poder, no el préstamo de la firma.
Ordenar esto lleva una tarde y se resume en cuatro pasos: inventariar qué portales usa la empresa y quién entra a cada uno; crear usuarios nominales donde el portal lo permita; retirar de circulación las claves compartidas y cambiarlas; y dejar por escrito quién es responsable de revocar accesos cuando alguien sale. Ese último punto es el que suele faltar, y es el que convierte el ejercicio en permanente en vez de en un esfuerzo aislado.
El beneficio no es solo de control. Una organización donde cada acceso tiene nombre puede delegar de verdad, porque delegar deja de significar entregar la llave de todo.