Seguridad
Concepto de derechos de acceso: quién puede ver qué en un family office
Actualizado: · Leutrim Miftaraj, FLIORE · Principios editoriales · Otros idiomas: Deutsch · English · Français
Respuesta breve
Un concepto de derechos de acceso define quién en el family office puede acceder a qué datos y realizar qué acciones. Sus principios: necesidad de saber, roles en lugar de derechos individuales, separación de funciones para pagos y aprobaciones, accesos limitados en el tiempo para asesores externos y revisión periódica de todos los derechos. La protección de datos y la ISO 27001 exigen precisamente estas medidas.
Por qué hace falta un concepto
Un family office guarda los datos más confidenciales de una familia: patrimonio, disposiciones sucesorias, directivas anticipadas, conflictos. Al mismo tiempo, muchas personas trabajan con ellos: el equipo, los miembros de la familia, asesores fiscales, abogados, gestores de patrimonio. Sin un concepto, los derechos crecen sin control con los años: antiguos asesores conservan su acceso, los becarios ven el patrimonio total y nadie sabe ya quién puede hacer qué.
Principios
- Necesidad de saber: cada persona solo ve lo que necesita para su tarea.
- Roles en lugar de derechos individuales: los derechos se asignan mediante roles, como dirección, contabilidad, cumplimiento, asistencia, asesor externo.
- Separación de funciones: quien introduce un pago no lo aprueba.
- Limitación temporal: los accesos externos terminan automáticamente al acabar el proyecto.
- Trazabilidad: la concesión, el cambio y el uso de los derechos quedan registrados.
Implicar bien a los miembros de la familia
No todos los miembros de la familia deberían verlo todo. Una regla habitual: cada uno ve su propio patrimonio y las estructuras en las que tiene un interés; solo determinadas personas ven el patrimonio total, como la generación fundadora o el consejo familiar. La siguiente generación recibe acceso por etapas. Estas reglas deberían hablarse con la familia y dejarse por escrito, idealmente en el protocolo familiar.
Introducir un concepto
- Recoger las áreas de datos y su necesidad de protección: patrimonio, documentos, datos personales, pagos, cumplimiento.
- Definir los roles y fijar para cada uno los derechos de lectura, escritura y aprobación.
- Contrastar los accesos existentes con el concepto y depurarlos.
- Hacer obligatorio el inicio de sesión con dos factores para todos los usuarios.
- Revisar los derechos al menos cada seis meses y retirarlos de inmediato en caso de salida.
Marco legal
La ley federal suiza de protección de datos exige una seguridad de los datos adecuada al riesgo; el art. 32 del RGPD exige medidas técnicas y organizativas apropiadas. La ISO/IEC 27001 contiene requisitos concretos sobre control de acceso y derechos de acceso. Para los intermediarios financieros supervisados se añaden los requisitos prudenciales sobre riesgos operativos.
En FLIORE
FLIORE asigna los derechos mediante roles, separa las organizaciones a nivel de base de datos (row level security), admite un inicio de sesión con dos factores que puede imponerse a toda la organización y marca por separado a los asesores externos. El portal de clientes solo muestra a las familias los contenidos compartidos expresamente; cada cambio aparece en la pista de auditoría.
De un vistazo
| Principio rector | Necesidad de saber y separación de funciones |
|---|---|
| Revisión | Al menos cada seis meses, de inmediato en caso de salida |
| Marco legal | LPD (CH), art. 32 RGPD, ISO/IEC 27001 |
Términos de esta página
- Registro de auditoría
- Registro inalterable que recoge quién creó, modificó, aprobó o eliminó qué datos y cuándo.
Preguntas frecuentes
¿Quién es responsable del concepto de derechos de acceso?
La dirección del family office tiene la responsabilidad; la aplicación suele corresponder a cumplimiento o a un responsable de informática. Lo importante es que alguien haga de verdad la revisión periódica.
¿Deben tener los asesores externos su propio acceso?
Sí, mejor que credenciales compartidas o adjuntos por correo. Un acceso individual, limitado en el tiempo y con derechos restringidos es más seguro y trazable.
¿Cómo se gestiona el acceso de emergencia?
Un acceso de emergencia documentado, sellado o accesible solo a cuatro ojos, evita la paralización si una persona clave no está disponible. Su uso debe registrarse y revisarse después.
¿Necesitan los family offices pequeños un concepto formal?
Incluso con tres empleados merece la pena una regla escrita sencilla. Evita que los derechos crezcan sin control con los años.
¿Qué diferencia hay entre un rol y un derecho?
Un derecho permite una acción concreta, como leer los documentos de un mandato. Un rol agrupa varios derechos para una función, como contabilidad. Si los derechos se asignan mediante roles, un cambio de personal solo exige reasignar el rol.
Fuentes
- Ley federal suiza de protección de datos (LPD, RS 235.1) – Fedlex
- Reglamento General de Protección de Datos (UE) 2016/679 – EUR-Lex
- ISO/IEC 27001 – sistemas de gestión de la seguridad de la información
Esta página sirve de orientación y no sustituye el asesoramiento jurídico o fiscal. Las fuentes legales citadas prevalecen en su versión aplicable.
Más información
Más sobre Operación, seguridad y tecnología
FLIORE en su family office
Vea estructuras, cumplimiento y patrimonio consolidado con sus propias preguntas, en una demostración personal.