Una política de tesorería para equipos pequeños: quién puede mover el dinero

Cuando una empresa empieza a tener criptomonedas, normalmente están en la billetera de una sola persona. El fundador la configuró, el fundador guarda la frase de recuperación y el fundador envía los pagos. Funciona… hasta que esa persona está de viaje, enferma, se marcha, cae en un phishing o simplemente comete un error sin nadie que lo detecte.

Una política de tesorería es la solución. No tiene que ser larga ni formal. Tiene que responder unas pocas preguntas con la claridad suficiente para que todos conozcan las reglas antes de que se mueva el dinero, no después.

Pregunta 1: ¿quién puede gastar?

Empieza por separar tres funciones que a menudo se confunden:

• Proponentes: personas que pueden preparar un pago.
• Aprobadores: personas cuya firma es necesaria para enviarlo.
• Observadores: personas que necesitan ver saldos e historial pero nunca deberían tocar los fondos, como un contable.

El control fundamental es que nadie pueda mover fondos por sí solo. En cripto eso se garantiza con multisig: una dirección de tesorería que necesita M aprobaciones de N firmantes. Para un equipo de tres a cinco personas, 2-of-3 o 3-of-5 son puntos de partida habituales. Los umbrales más altos añaden seguridad y fricción a partes iguales.

Pregunta 2: ¿qué pasa con las claves cuando la gente se va?

Cada firmante es una persona que puede marcharse, perder un dispositivo o dejar de responder. Planifícalo:

• Umbral por debajo del total. Con 2-of-3, perder a un firmante no congela los fondos.
• Que no haya dos firmantes con un mismo punto único de fallo: ni la misma caja fuerte de la oficina, ni el mismo portátil, idealmente ni el mismo hogar.
• Un paso de baja. Cuando alguien se va, retíralo como firmante y, si hace falta, mueve los fondos a una bóveda sin su clave. No esperes a que algo salga mal.
• Un procedimiento de recuperación documentado que no dependa de que una sola persona recuerde cómo funcionan las cosas.

Pregunta 3: ¿qué acciones requieren un cuidado especial?

Algunas decisiones son más peligrosas que un pago normal: cambiar quiénes son los firmantes, transferir la propiedad, eliminar personas, borrar la organización. Deberían exigir algo más que un clic desde una cuenta con la sesión iniciada. Deja por escrito qué acciones son «críticas» y qué confirmación necesitan.

Pregunta 4: ¿cómo se revisan los pagos?

El paso de aprobación solo tiene valor si los aprobadores realmente comprueban algo. Basta con una lista corta:

• ¿Corresponde a una solicitud: una factura, una nómina, una transferencia acordada?
• ¿Está verificada la dirección: guardada y confirmada previamente, no pegada desde un correo?
• ¿Es correcto el importe, incluidos el activo y la red?
• En interacciones con contratos, ¿coincide la simulación con la intención?

La pérdida de tesorería más común no es una clave hackeada; es una factura convincente con una dirección cambiada. Una regla que obligue a confirmar las nuevas direcciones de destinatarios por un segundo canal, como una llamada o un contacto ya existente, evita gran parte de esos casos.

Pregunta 5: ¿qué queda registrado?

Cada pago debería dejar rastro: quién lo propuso, quién lo aprobó, cuándo y por qué. Eso es lo que hace que una política sea auditable y lo que permite al equipo reconstruir los hechos si algo sale mal.

Una plantilla para empezar

Para un equipo pequeño, algo así basta para comenzar:

1. La tesorería se guarda en una bóveda multisig con un umbral de 2-of-3 (o 3-of-5).
2. Los firmantes son personas con nombre; sin cuentas compartidas ni dispositivos compartidos.
3. Cualquiera del equipo de finanzas puede proponer; solo los firmantes aprueban.
4. Las nuevas direcciones de destinatarios se verifican por otro canal antes del primer uso.
5. Los cambios de firmantes y las transferencias de propiedad son acciones críticas con reconfirmación.
6. Se conserva un registro de la propuesta, las aprobaciones y la finalidad de cada pago.
7. La baja incluye retirar a la persona como firmante en su último día.
8. La política se revisa cada seis meses o después de cualquier incidente.

Cómo encaja SSP Enterprise con todo esto

SSP Enterprise se diseñó en torno a estas preguntas:

• Funciones. Las organizaciones tienen propietarios, administradores, miembros y observadores, de modo que proponer, aprobar y consultar están separados. Funciones y permisos explica lo que puede hacer cada uno.
• Bóvedas M-of-N. Cada bóveda tiene su propio umbral y su propio conjunto de firmantes, y una organización puede tener varias bóvedas: por ejemplo, una cuenta operativa y una reserva con un umbral más alto. En el modo predeterminado, cada firmante aprueba con SSP Wallet y SSP Key, así que incluso la aprobación de un solo firmante es en sí misma un 2-of-2. Como la dirección de una bóveda se construye a partir de las claves de sus firmantes, cambiar quién puede firmar implica mover los fondos a una bóveda nueva, algo que conviene prever en el proceso de baja.
• Acciones críticas. Transferir la propiedad, eliminar miembros, borrar la organización y cambiar el correo empresarial exigen volver a firmar con las claves de identidad, no solo una sesión iniciada.
• Comprobaciones antes de firmar. Las propuestas muestran destinatarios e importes, y las interacciones con contratos incluyen simulación y avisos de riesgo antes de que los firmantes aprueben.
• Un registro de cada pago. Las propuestas guardan quién propuso, quién ha firmado y quién sigue pendiente, y hay exportaciones disponibles para contabilidad.

Si empiezas desde cero, configurar tu primera bóveda empresarial te guía paso a paso.

El resumen honesto

Una política de tesorería responde cinco preguntas: quién puede gastar, qué ocurre cuando alguien se va, qué acciones son críticas, cómo se revisan los pagos y qué registro se conserva. Pon las respuestas por escrito antes de necesitarlas.

El multisig hace cumplir la regla más importante: nadie puede mover fondos por sí solo. El resto es hábito: direcciones verificadas, comprobaciones reales antes de aprobar y bajas que se hacen a tiempo.