Un estado financiero firmado que se puede reescribir no prueba nada

Un balance sale el día cinco. El veinte alguien corrige un asiento de hace tres meses —una corrección legítima, aprobada como toca—. El PDF que ya circula deja de cuadrar con el libro, y nadie se entera. Ese es el estado normal de las cosas en casi cualquier sistema contable, y solo sale a la luz el día que alguien compara los dos.

Firmar el fichero es la mitad fácil

La mayoría de los sistemas que dicen firmar un estado financiero guardan la huella del PDF generado. Eso demuestra que el fichero no se ha alterado, lo cual es cierto y casi inútil: nadie iba a editar el PDF. Lo que cambia por debajo es el libro, y la huella del fichero no dice nada de él.

La pregunta que una firma tiene que responder no es «¿este fichero está intacto?» sino «¿las cifras de este fichero siguen saliendo de los libros?». Son preguntas distintas y necesitan pruebas distintas.

Congelar las cifras, sellar los asientos

Al firmar se guardan dos cosas, no una:

• Una copia de las cifras tal como estaban. No una referencia al libro: una copia. El documento firmado tiene que poder leerse dentro de diez años aunque el libro haya seguido su camino, se haya migrado o se haya cerrado.
• Una huella de los asientos que las produjeron: la lista ordenada de los movimientos del periodo, resumida en un hash. No los importes sueltos: la lista, para que quitar un asiento cambie la huella igual que modificar un importe.

Con la copia, el documento sobrevive. Con la huella, el sistema puede saber —barato y en cualquier momento— si el libro sigue produciendo ese documento.

Avisar, no bloquear

El diseño tentador es cerrar el periodo para que nada cambie. También es el diseño que se esquiva antes de que acabe el mes: las correcciones son legítimas, ocurren, y un sistema que las prohíbe acaba con los números de verdad viviendo en una hoja de cálculo al lado.

Lo que sirve es lo contrario. Que la corrección pase, y que en el momento en que la huella deja de cuadrar el sistema lo diga: este estado firmado ya no refleja los libros. Quien lo firmó decide qué hacer —a veces nada, porque la corrección es inmaterial; a veces emitir otro—.

Un sistema que bloquea la corrección no protege la prueba. Solo manda la verdad a un sitio donde no la ve.

Reemplazar, nunca corregir

Un documento firmado no se edita. Nunca. Si los números tienen que cambiar, se emite otro documento y se firma, y el anterior queda como lo que es: prueba de lo que se aceptó aquel día. Dos documentos, dos firmas, un orden entre ellos.

Esta es la parte que más implantaciones se saltan, y no es un detalle técnico. El día que se discutan las cifras, un historial de ediciones sobre un mismo documento invita a preguntar quién editó qué y cuándo. Dos documentos separados no: cada uno dice lo que dice, y ninguno ha cambiado jamás.

Cuatro preguntas para el sistema que ya usa

• Si corrijo un asiento de hace tres meses, ¿algo me avisa de que el estado que ya firmé dejó de cuadrar?
• ¿Puedo abrir un estado firmado el año pasado si desde entonces se migró el libro? ¿Sigue enseñando las mismas cifras?
• ¿La firma es sobre el fichero, o sobre las cifras y los asientos que hay detrás?
• Cuando se corrige un estado firmado, ¿sobrevive el anterior o el sistema lo sobrescribe en silencio?

Si alguna respuesta incomoda, lo que tiene es un PDF con una firma encima. No es lo mismo que una prueba.