Definición de datos de eventos de adquisiciones para un registro de decisiones auditable

¿Qué incluye un historial de decisiones de adquisiciones auditable?

La contratación federal de EE. UU. ofrece una referencia útil para definir el alcance. Las normas del FAR sobre expedientes de contratos exigen a las oficinas de contratación gubernamentales que mantengan documentación suficiente para constituir un historial completo de la transacción, y enumeran los registros desde la solicitud de compra y las justificaciones hasta las convocatorias, ofertas, selección de proveedores, aprobaciones de adjudicación y modificaciones. Esas reglas rigen los archivos propios de las oficinas federales en lugar de las compras de una empresa, por lo que debe tratar la lista como una verificación de cobertura para su propio diseño.

Piense en el historial como los eventos que cambian el estado de una compra, además de las pruebas en las que se basó cada uno: una solicitud aprobada, una lista de proveedores fijada, ofertas recibidas, una evaluación firmada, una adjudicación aprobada, un contrato enmendado, bienes recibidos y una factura pagada. Cada momento cuenta con un actor, una hora y un documento, y un revisor debería poder navegar entre ellos sin tener que pedir a tres equipos que busquen en sus bandejas de entrada.

¿Qué campos debe registrar cada evento de adquisición?

Un artículo sobre el método de minería de procesos ofrece un mínimo compacto. Chiu, Brown-Liburd y Vasarhelyi describen un registro de eventos que transporta la instancia del proceso, la actividad, el recurso que la ejecutó y una marca de tiempo. Sus rutas ilustrativas de procure-to-pay, como la orden de compra, la firma, la recepción de mercancías, la recepción de facturas, la liberación y el pago, separan las secuencias estándar de las no estándar, lo cual depende de que cada evento transporte su instancia de proceso, actividad y marca de tiempo, mientras que el campo de recursos admite otras pruebas como la separación de funciones.

Los eventos de adquisiciones necesitan algunos campos más que un registro del sistema genérico, porque un revisor de adquisiciones también pregunta sobre la autoridad y la base. Añada el sistema de registro y su número de registro nativo, la regla de aprobación aplicada, el importe y la moneda cuando el evento cambie un compromiso, y un enlace a la versión almacenada del documento de respaldo. Registre al actor como una persona nombrada o cuenta de servicio, además del rol y la delegación vigentes ese día, para que las pruebas de separación de funciones puedan detectar si un solicitante aprueba su propia solicitud.

Si los datos van a alimentar herramientas de minería de procesos o análisis de auditoría, un formato de intercambio publicado puede ahorrarle un proyecto de traducción en el futuro. El estándar XES IEEE 1849-2023 define un formato XML para intercambiar registros de eventos entre los sistemas que los generan y las herramientas que los analizan, y su alcance incluye a los sistemas de adquisiciones entre esas fuentes. Mapear su esquema a este formato mantiene claro el significado de cada campo cuando los datos se mueven, aunque la integridad todavía depende de lo que cada sistema registre.

¿Cómo deben conectarse los registros entre los sistemas de admisión, abastecimiento, contratos y ERP?

Un seguimiento puede abarcar varios sistemas: la solicitud en una herramienta de admisión, las ofertas en una plataforma de abastecimiento electrónico, el acuerdo en la gestión de contratos, y el compromiso y el pago en el ERP. La cartilla del Estándar de Datos de Contratación Abierta (OCDS) gestiona un problema similar para la contratación pública con un identificador por proceso de contratación. Cada cambio se publica como una versión que no se puede modificar una vez publicada, y un registro indexa dichas versiones y puede incluir una versión compilada que contenga el valor más reciente de cada campo.

El mismo patrón funciona dentro de una empresa. Asigne un identificador de caso en el momento de la recepción, transpórtelo al evento de abastecimiento, contrato, orden de compra y factura, y almacene una referencia cruzada cada vez que un sistema emita su propio número; para los acuerdos marco, convierta el contrato en el ancla a la que apuntan los pedidos abiertos, las recepciones y las facturas. Mantenga el historial de solo adición y construya la vista actual a partir de él, de modo que el nombre de un proveedor o un precio corregido aparezca como un evento nuevo con su motivo, mientras que el valor anterior siga siendo legible.

¿Qué eventos de adquisición necesitan los controles más estrictos?

Las excepciones necesitan los controles más estrictos porque la ruta estándar incorpora sus documentos, mientras que una excepción debe crear su propio registro. Una auditoría del condado de Cook de 2016 sobre compras por proveedor único y de emergencia ilustra la brecha: descubrió que los departamentos de origen no proporcionaban sistemáticamente una justificación suficiente para las adquisiciones de proveedor único. También descubrió que el formulario de compra de emergencia no exigía justificar la no obtención de tres presupuestos.

Registre cada excepción como su propio tipo de evento: una justificación de proveedor único o de oferta única, un requisito de cotización o competencia eximido, otro paso de política eximido, o un cambio manual de precio o cantidad posterior a la adjudicación. Cada uno debe incluir la regla de la cual se aparta, la razón por escrito, el aprobador y su autoridad, y cuándo ocurrió la aprobación en relación con el compromiso. Trate los límites de delegación de autoridad como no renunciables en el registro, de modo que una aprobación que exceda el límite de alguien se registre ya sea como una escalación o como un compromiso no autorizado con su ratificación y un registro de incumplimiento.

Los registros de evaluación merecen el mismo trato. En una auditoría interna de 2024 sobre las compras locales en Sudán del Sur, los auditores de la ONU descubrieron que las evaluaciones técnicas y financieras cumplieron con los criterios de la licitación en 16 de 30 casos de muestra, mientras que a los 14 restantes les faltaba la documentación adecuada para poder evaluarlos. La misma auditoría reveló que el comité de apertura de ofertas registró posteriormente la hora de recepción de cada propuesta, lo cual es el tipo de evento con marca de tiempo a partir del cual puede iniciar un rastro de evaluación.

¿Durante cuánto tiempo se deben conservar los registros de eventos de compras?

La retención depende de la jurisdicción y del tipo de registro, por lo que debe definirse junto con los departamentos legal y de finanzas en lugar de establecer un único plazo para todo. En el caso de los contratos federales de EE. UU., la tabla de retención del FAR muestra los contratos y registros relacionados, incluidas las propuestas exitosas y no exitosas, que se conservan durante 6 años después del pago final. La misma subsección exige procedimientos de transferencia, almacenamiento y recuperación de datos que protejan la información original contra alteraciones.

Las normas fiscales llegan a los mismos registros desde otra perspectiva. El procedimiento de ingresos 98-25 del Servicio de Impuestos Internos de EE. UU. (Internal Revenue Service) exige a los contribuyentes dentro de su ámbito que conserven registros legibles por máquina mientras sus contenidos puedan ser relevantes para la administración fiscal. También les requiere documentar los procesos de negocio que crean y modifican dichos registros y establecer pistas de auditoría entre los registros retenidos, los libros contables y la declaración de impuestos, por lo que debe mantener su esquema de eventos y su historial de cambios junto con los datos.

En cuanto a los registros en sí, el borrador de revisión de la norma NIST SP 800-92 define la gestión de registros como la generación, transmisión, almacenamiento, acceso y disposición de los datos de registro, y enumera la conservación de registros durante el período requerido entre sus propósitos. Está redactado para registros de ciberseguridad, por lo que debe utilizarse para mantener la disciplina en el almacenamiento, el acceso y la disposición, en lugar de para decidir qué eventos de adquisiciones son importantes.

¿Cómo pueden los equipos verificar la pista de auditoría antes de una auditoría?

Ejecute las pruebas que realizaría un auditor. Ordene los eventos de cada caso y busque rutas que infrinjan sus reglas, como una firma registrada después de la recepción de mercancías. En el ejemplo de Chiu y colaboradores, esa ruta se considera no estándar, y los mismos autores advierten que un registro de eventos incompleto produce información que los auditores no pueden utilizar. Luego, busque excepciones que nadie haya declarado, como pedidos que superen el umbral de competencia sin un evento de abastecimiento o facturas con fecha anterior a sus pedidos, y verifique que cada excepción declarada tenga su motivo y su aprobador.

La calidad de los campos necesita su propia verificación, incluso en los sistemas obligatorios. En su revisión de 2025 sobre los datos de adquisiciones federales, GAO descubrió que 36 de las 70 agencias que informan al Sistema de Datos de Adquisiciones Federales para el año fiscal 2023 confirmaron haber completado un informe de calidad de datos, mientras que el resto representó aproximadamente el 0.26 por ciento de las obligaciones contractuales. También descubrió que dos agencias no habían documentado planes de acción correctiva para los elementos de datos con tasas de precisión bajas y recurrentes. Muestree los campos clave en cada período y asigne a un responsable la tarea de encontrar la causa de los errores repetidos.

¿Qué debe contener un registro de eventos de adquisiciones?

Utilice el registro a continuación para acordar, sistema por sistema, qué eventos existen, qué debe incluir cada uno y quién es el responsable de un campo faltante. Comience con una categoría y un evento de aprovisionamiento reciente, realice su seguimiento desde la solicitud hasta el pago y marque cada lugar en el que tuvo que consultar a una persona en lugar de leer un registro. Si sus eventos de aprovisionamiento ya siguen un flujo de trabajo de RFQ estructurado, sus etapas se corresponden con las filas de aprovisionamiento.

Los registros de proveedores necesitan dos seguimientos separados. Cuando un nuevo proveedor supera una evaluación de riesgo de proveedores por niveles, registre la versión de la evaluación, el resultado y el revisor como eventos en dicho proveedor. Trate cada cambio en los datos bancarios como un evento de datos maestros de alto riesgo para todos los proveedores, independientemente de su nivel, registrando quién lo solicitó, cómo se confirmó a través de un contacto ya archivado, quién lo verificó y aprobó, y cuándo, para que una revisión de pagos pueda ver qué se comprobó antes de que se moviera el dinero.

¿Cómo cambian los agentes de AI la pista de auditoría de decisiones de adquisiciones?