Prevención del plagio entre compañeros: riesgo de los dispositivos sin cruzar la línea

Por qué el fichaje fraudulento es un problema que merece tomarse en serio

El fichaje fraudulento consiste en que un empleado registre la entrada o salida de otro. Por lo general, quienes lo hacen no lo perciben como fraude —«llegaban tarde, los cubrí»—, pero el costo es el mismo: horas pagadas por tiempo no trabajado, nómina expuesta a disputas y un registro que no se corresponde con la realidad. Para un equipo pequeño con márgenes ajustados, el costo acumulado suele ser mayor de lo esperado.

El instinto nos lleva a combatir el acoso entre compañeros con medidas de seguridad más estrictas: biometría, captura de fotos, seguimiento continuo de la ubicación. Algunas de estas herramientas son útiles, pero la mayoría de los equipos no las necesitan, y la versión proporcional de la misma defensa suele ser más efectiva.

Empiece por el modelo de amenazas, no por la tecnología.

Antes de añadir controles, describa el problema real de su negocio:

• Sustitución informal. Un empleado utiliza la tableta compartida para registrar la entrada de un compañero que llega dos minutos tarde. Frecuente, de baja intención, difícil de probar. - Fichaje coordinado. Dos empleados se cubren mutuamente con regularidad para inflar las horas trabajadas. Menos frecuente, de mayor intención, deja un patrón. - Fichaje fuera de la oficina. Un empleado ficha desde casa o en tránsito. Específico de los relojes móviles; visible para las comprobaciones de ubicación. - Compartir cuenta. Un empleado inicia sesión en la cuenta de otro para fichar. Raro, pero incumple todas las suposiciones de auditoría.

Los distintos patrones requieren respuestas diferentes. Un entorno de trabajo con tabletas compartidas presenta un riesgo fundamentalmente distinto al de un entorno con dispositivos personales. Diseñar un único conjunto de controles para ambos casos da como resultado controles que no se ajustan a ninguno.

El registro de actividad desde dispositivos personales es tu mayor ventaja

El cambio más efectivo consiste en pasar de los dispositivos compartidos al registro de entrada y salida desde dispositivos personales siempre que sea posible. Cuando cada empleado registra su entrada y salida desde su propio teléfono, varias cosas se simplifican a la vez:

• El registro de entrada y salida está vinculado a un dispositivo conocido, no a una terminal pública. - Las señales de ubicación son importantes porque el dispositivo suele acompañar a la persona. - Que un dispositivo registre repentinamente la entrada y salida de dos empleados diferentes es una señal de alerta evidente. - Las credenciales de la cuenta no se comparten de forma casual al inicio de cada turno.

Esto no significa entregarles a los empleados un dispositivo adicional. Para la mayoría de los equipos, el teléfono inteligente personal ya es el terminal de control de asistencia más seguro del edificio, siempre y cuando la política lo considere como tal.

Utilice la identificación del dispositivo con precaución

La identificación de dispositivos —que registra señales estables sobre el dispositivo que realiza el registro de entrada y salida— es una de las herramientas más eficaces contra el registro de entrada y salida fraudulento coordinado. El sistema puede detectar un registro realizado desde un dispositivo que históricamente ha sido utilizado por otro empleado, o que cambia repentinamente de plataforma, versión del sistema operativo o identificadores de hardware.

Algunos principios mantienen esta proporción:

• Marcar, no aplicar disciplina automática. Un cambio de dispositivo podría ser un teléfono nuevo o un restablecimiento de fábrica, no un fraude. - Mostrar el patrón, no la huella digital sin procesar. Los gerentes deben ver “este dispositivo ha sido utilizado por tres empleados este mes”, no una base de datos de identificadores. - Limitar la retención. Los datos del dispositivo deben eliminarse al mismo ritmo que los registros a los que se refieren. - Informar sobre la práctica. El hecho de que el sistema utilice señales del dispositivo debe estar en la descripción para el empleado, no oculto en un aviso de privacidad.

Las señales de localización complementan las señales del dispositivo.

Un golpe del dispositivo correcto pero en el lugar equivocado resulta sospechoso de una manera diferente a un golpe del dispositivo incorrecto. Emparejar ambos proporciona una señal más fuerte sin aumentar la seguridad de ninguno de los controles por sí solo.

Para los equipos de oficina y tienda, una conexión Wi-Fi autorizada es una prueba especialmente fiable: es difícil falsificar un dispositivo personal conectado a la red de la empresa al fichar sin estar presente físicamente. Para los equipos de campo, un fichaje en una zona geográfica incorrecta es una señal más útil. La combinación de ambos (dispositivo conocido y ubicación prevista) es mucho más fiable que cualquiera de ellos por separado.

Los dispositivos compartidos necesitan controles de dispositivos compartidos

Algunos lugares de trabajo realmente necesitan un terminal compartido: una tableta en la recepción, un quiosco en la entrada del almacén, una estación de trabajo en la clínica. Los dispositivos compartidos conllevan un mayor riesgo de que alguien fiche la entrada y salida de otra persona, y los controles deben reflejarlo.

• Un código personal corto o PIN por turno , que se rota periódicamente. - Verificación fotográfica al momento del fichaje , con la imagen adjunta al registro. - Vinculación estricta de la ubicación , de modo que el dispositivo compartido solo acepta fichajes de su sitio asignado. - Revisión de patrones para fichajes consecutivos realizados por diferentes empleados en el mismo segundo.

La verificación fotográfica recibe mucha atención. Es eficaz, pero también es el control más intrusivo de esta lista; resérvela para dispositivos compartidos de forma legítima y asegúrese de que la política explique con exactitud cómo se utilizan y almacenan las imágenes.

Busca patrones que el sistema ya pueda ver

Una cantidad sorprendente de golpes entre compañeros puede detectarse simplemente revisando patrones, sin necesidad de ninguna tecnología nueva:

• Fichajes de dos empleados que llegan sistemáticamente en el mismo intervalo de un minuto. - Un dispositivo que ficha por dos empleados diferentes el mismo día. - Un empleado específico cuyas correcciones siempre describen a un compañero ausente. - Fichajes fuera de las instalaciones que siempre coinciden con el turno de otro empleado.

Estos patrones salen a la luz en una revisión básica de excepciones. Un informe semanal de patrones suele detectar más que un despliegue biométrico drástico.

Lo que no se debe hacer

Algunos controles comunes hacen más daño que bien:

• Seguimiento continuo de la ubicación para “probar” que alguien estuvo trabajando todo el día. Desproporcionado al problema y perjudicial para la confianza. - Captura biométrica sin divulgación ni base legal. Varias jurisdicciones regulan estrictamente los datos biométricos y pueden imponer sanciones que superan con creces el fraude que se pretende prevenir. - Humillación pública. Publicar los registros de asistencia marcados en un tablero no disuade el fraude; enseña al equipo que el sistema es hostil. - Autodisciplina de tolerancia cero. Los falsos positivos son inevitables. Un control que los castiga socava su propia credibilidad.

El elemento disuasorio más eficaz no es un control más estricto, sino un proceso de revisión creíble donde se detecten y analicen los patrones sospechosos.

Vincular la política a los controles

La política de asistencia debe mencionar explícitamente el registro fraudulento de entrada y salida, describir los controles en un lenguaje sencillo e indicar qué sucede cuando el sistema detecta un patrón. Los empleados deben saber que es obligatorio registrar su entrada y salida con su dispositivo personal, que se registran las señales del dispositivo y la ubicación, y que el fraude confirmado se trata como un asunto grave, sin que esto genere sospechas automáticas entre los trabajadores.

Una política que todos comprendan hace la mayor parte del trabajo de prevención. La tecnología simplemente hace que la política sea aplicable cuando importa.

Lecturas relacionadas

• Control de asistencia mediante geolocalización y privacidad de los empleados - Manual de excepciones de asistencia - Lista de verificación de la aplicación móvil de control de asistencia - Producto: cumplimiento , control de asistencia preciso