Audit Trail: la evidencia que la SFC exige (y cómo automatizarla)

"Si no está documentado, no pasó". El audit trail es la evidencia probatoria que la SFC, SuperSociedades y auditores externos revisan en visitas. Sin audit trail completo, la sanción es casi automática.

¿Qué es audit trail?

Es el registro inmutable y cronológico de cada acción que afecta datos relevantes: quién, qué, cuándo, desde dónde. En compliance se aplica a KYC, decisiones de riesgo, ROS, aprobaciones, cambios en matriz, accesos a información.

Qué debe registrar tu sistema

Acceso a datos sensibles — quién vio qué cliente.
Cambios en datos KYC — antes/después con motivo.
Decisiones de riesgo — aprobación/rechazo con justificación.
Cambios en matriz de riesgo — versiones con aprobación.
Alertas generadas y cerradas — con investigación documentada.
ROS reportados — historia completa del caso.
Capacitaciones — quién, cuándo, score.
Configuración del sistema — cambios en reglas, listas, umbrales.

Requisitos técnicos

Inmutabilidad — no se puede borrar ni modificar registros pasados.
Sello de tiempo confiable — timestamp criptográfico.
Hash de integridad — para detectar manipulación.
Retención — mínimo 10 años (Ley 906).
Backup geográfico — copia en otra región.
Exportabilidad — para entregar al regulador.

Errores comunes

Logs solo en base de datos editable — sin garantía de inmutabilidad.
No registrar accesos — solo cambios.
Faltan motivos de decisiones.
Retención corta (< 5 años).
Sin búsqueda eficiente — auditor pide y demora días encontrar.

Tecnologías habilitadoras

WORM storage (Write Once Read Many) — appliance dedicado.
Blockchain privada — hash de logs en cadena inmutable.
Append-only databases (PostgreSQL con triggers).
SIEM con correlación cruzada.

¿Cómo te ayuda GRC Software?

Audit trail completo de cada acción. Hash de integridad. Retención 10 años por defecto. Exportación a regulador con un clic. Búsqueda en segundos por cliente, fecha o tipo de evento.

Próximos pasos

Lee Funciones del OC.
Empezá gratis: crear cuenta.