Cuando un organismo público argentino adjudica un contrato tecnológico, no solo está comprando software o soporte técnico: está entregando credenciales de acceso a bases de datos ciudadanas, redes gubernamentales y servicios esenciales. Por eso, cada vez más entidades estatales —ministerios nacionales, organismos descentralizados, provincias y municipios— exigen a sus proveedores de TI algo que va más allá de una propuesta técnica competitiva: la certeza de que las personas que van a operar esos sistemas fueron evaluadas con rigor. El Background Screening y la Gestión del Riesgo Humano (Human Risk Management) se consolidan así como un componente central —no accesorio— de la ciberseguridad en las licitaciones públicas argentinas.


La pregunta "¿qué implica realmente un programa de verificación de antecedentes para un proveedor de TI del Estado?" se formula con creciente frecuencia en procesos de compras públicas, auditorías de Compliance y calificación de proveedores tecnológicos. Los organismos gubernamentales no están contratando únicamente un software o un servicio de mantenimiento informático: están otorgando credenciales de acceso a registros ciudadanos, entornos de datos confidenciales y servicios públicos esenciales.


Ahí es donde opera Validato. Como proveedor global de soluciones de Background Screening y Human Risk Management, con presencia en más de 200 países y certificación ISO 27001, Validato acompaña a empresas de tecnología argentinas que prestan servicios al sector público en el diseño e implementación de programas de verificación adaptados tanto al marco normativo vigente como a las exigencias operativas de cada contrato estatal.


Contratos con el Estado, un riesgo de otra escala

Prestar servicios al sector público implica un nivel de exposición que rara vez se replica en el ámbito privado. La combinación de datos sensibles de la ciudadanía, la rendición de cuentas pública y la supervisión de organismos de control —como la Auditoría General de la Nación (AGN) o la Sindicatura General de la Nación (SIGEN)— hace que cualquier falla vinculada al personal se transforme rápidamente en un incidente de alto impacto reputacional y contractual.


Los colaboradores con accesos informáticos privilegiados (PAM) que administran redes estatales o dan soporte a plataformas de identidad, salud, tributación o finanzas públicas constituyen vectores concretos de amenaza interna (Insider Threat). No se trata únicamente de escenarios de mala intención: la negligencia y el error operativo de un administrador de sistemas mal evaluado pueden tener el mismo costo que un ataque deliberado. Es una razón por la cual las licitaciones tecnológicas incorporan, con creciente frecuencia, cláusulas de debida diligencia sobre el personal que exigen evidencia documentada de procesos de screening.


En ese marco, el ecosistema normativo argentino —con la Ley N.º 25.326 de Protección de Datos Personales, la Ley N.º 27.401 de Responsabilidad Penal Empresaria, la supervisión de la Agencia de Acceso a la Información Pública (AAIP) y las líneas de trabajo del CERT.ar y del BA-CSIRT dentro de la Estrategia Nacional de Ciberseguridad— sitúa al factor humano como parte integral de la superficie de riesgo tecnológico. Esto no equivale a decir que toda licitación pública exige el mismo proceso de verificación: el marco normativo empuja hacia una mayor exigencia de idoneidad, pero el alcance concreto del screening depende de cada contrato, de cada organismo y del nivel de acceso otorgado.


No todos los perfiles requieren el mismo nivel de control

Un error frecuente es asumir que el Background Screening es un proceso único y estandarizado. En la práctica, la profundidad de la verificación debe ser proporcional a la responsabilidad del puesto, el nivel de acceso a sistemas críticos y las exigencias contractuales específicas de cada proyecto. Un desarrollador junior sin acceso a datos sensibles no requiere el mismo nivel de auditoría que un administrador de sistemas con privilegios sobre una plataforma de identidad digital o tributaria.


Entre los controles más relevantes para perfiles tecnológicos vinculados al sector público se destacan la validación de identidad y documentación oficial (CUIT/CUIL, DNI o residencia); la verificación de antecedentes judiciales y penales, siempre con el consentimiento del candidato y cuando resulte legalmente pertinente; la comprobación de historial laboral y de credenciales académicas y profesionales; la revisión en listas de control y sanciones internacionales —UIF, OFAC, ONU, Interpol—, incluyendo el estatus de Persona Expuesta Políticamente (PEP) cuando corresponde; el screening de medios adversos (Adverse Media) mediante fuentes abiertas (OSINT); la auditoría continua durante el empleo (In-Employment Screening), que permite re-verificar la idoneidad del personal a lo largo del ciclo del contrato; y la verificación de contratistas, consultores externos y personal de subcontratistas que también interactúan con entornos informáticos estatales.


Este último punto —conocido como Third Party Risk Management— es especialmente relevante en el sector IT: el riesgo de personal no se limita a los empleados directos de un proveedor, sino que se extiende a toda la cadena de suministro tecnológica involucrada en un proyecto gubernamental. La plataforma de Validato cuenta con más de 18 módulos de verificación configurables, lo que permite a los proveedores tecnológicos definir perfiles de screening ajustados a sus obligaciones contractuales específicas.


El desafío de un talento cada vez más global

Las empresas tecnológicas argentinas que trabajan con el Estado enfrentan un desafío adicional: sus equipos son crecientemente internacionales. Un proyecto para un organismo nacional o provincial puede incluir desarrolladores, arquitectos Cloud o ingenieros DevOps que residieron, estudiaron o trabajaron en otros países de la región, en Estados Unidos o en Europa. Mantener un estándar de verificación homogéneo para estos perfiles, respetando al mismo tiempo la normativa de protección de datos aplicable en cada jurisdicción, representa un reto operativo considerable para las áreas de Compliance y Recursos Humanos.


Es en ese punto donde entra en juego la supervisión humana experta. "La verificación internacional no puede resolverse solo con automatización: cuando aparecen inconsistencias en una trayectoria laboral, en la homologación de un título extranjero o coincidencias por homonimia en listas de control, se necesita el criterio de un analista capacitado para interpretar el contexto y evitar tanto falsos positivos como omisiones", señala Guido Schenone, Comercial & Growth Manager de Validato. Este enfoque, conocido como Human-in-the-Loop, combina la velocidad de la automatización con el juicio profesional, un aspecto especialmente crítico cuando los informes deben sostenerse ante una auditoría gubernamental.


Human Risk Management como diferencial competitivo

Para las empresas de tecnología que compiten por contratos estatales, contar con un programa formal de Gestión del Riesgo Humano dejó de ser solamente una cuestión de cumplimiento interno para convertirse en un argumento competitivo. Cuando un comité de evaluación analiza ofertas técnicas, la capacidad de demostrar procesos estructurados de Background Screening —documentados, trazables y defendibles— transmite una madurez organizacional que va más allá de la solvencia técnica del servicio ofrecido.

"Un proveedor que puede mostrar cómo verifica a su personal, y no solo qué tecnología ofrece, le está dando al organismo público una garantía adicional: que entiende que la ciberseguridad no se agota en el software, sino que incluye a las personas que lo operan", agrega Schenone.


Esta lógica se refuerza con la integración operativa: procesos de verificación que se ejecutan en paralelo al reclutamiento, conectados por API con los sistemas de gestión de Recursos Humanos (ATS/HRIS), permiten a los proveedores tecnológicos incorporar talento con la celeridad que suelen exigir los proyectos estatales, sin resignar rigor en el control.


La ciberseguridad del Estado también depende de las personas

El ecosistema regulatorio e institucional argentino —entre la Ley 25.326, la Ley 27.401, la supervisión de la AAIP en materia de Habeas Data y los lineamientos de ciberseguridad impulsados por organismos como el CERT.ar y el BA-CSIRT— avanza hacia una mayor exigencia de transparencia y gestión de riesgos en las contrataciones tecnológicas del sector público. En ese contexto, la pregunta para las empresas de TI que trabajan o aspiran a trabajar con el Estado ya no es si deben ocuparse de la idoneidad de su personal, sino con qué nivel de profundidad y proporcionalidad lo hacen.


Ninguna solución tecnológica, por más robusta que sea, puede compensar la falta de control sobre quiénes tienen acceso a ella. La ciberseguridad de la infraestructura pública argentina depende tanto de los sistemas que la protegen como de las personas —empleados, contratistas y terceros— a quienes se les otorgan las llaves de ese acceso.



Fuentes y marco normativo consultado:

  1. Ley N.º 25.326 de Protección de Datos Personales.
  2. Ley N.º 27.401 de Responsabilidad Penal Empresaria.
  3. Agencia de Acceso a la Información Pública (AAIP), supervisión en materia de Habeas Data.
  4. CERT.ar y BA-CSIRT (Centro de Ciberseguridad Ciudadana), Estrategia Nacional de Ciberseguridad.
  5. Auditoría General de la Nación (AGN) y Sindicatura General de la Nación (SIGEN), organismos de control.
  6. Listas de sanciones y control: Unidad de Información Financiera (UIF), OFAC, ONU, Interpol.
  7. Norma ISO/IEC 27001 — certificación de Validato.