Un coordinador, un sistema de solicitudes y una CLABE ajena

El 19 de mayo de 2026, la Comisión de Disciplina del Tribunal de Disciplina Judicial resolvió inhabilitar por tres años para ocupar cualquier empleo, cargo o comisión en el servicio público a un coordinador técnico administrativo de un órgano jurisdiccional federal. Según lo reportado por La Jornada y El Universal, el funcionario utilizó el Sistema de Solicitud Electrónica de Servicios para modificar la CLABE interbancaria de un compañero adscrito a un Centro de Justicia Penal Federal en Michoacán. Con ese cambio, el pago de la nómina del compañero terminó en cuentas de terceros y, de ahí, llegó presuntamente a manos del propio coordinador. El Universal consignó que el servidor público se valió de sus funciones de apoyo en la operación y supervisión de sistemas informáticos, y que el procedimiento de responsabilidad administrativa se había iniciado el 7 de abril de 2025.


Conviene fijar con precisión qué es y qué no es este caso. Se trata de una resolución administrativa dentro del régimen de responsabilidades de los servidores públicos, no de una sentencia penal. Las notas consultadas no precisan el monto desviado ni informan si existe una carpeta de investigación por separado, y tampoco señalan que la persona hubiera cambiado recientemente de puesto. Esa última ausencia importa: sería un error presentar este expediente como prueba de que los cambios de función generan fraudes. Lo que sí muestra, con documentación oficial, es algo más sobrio y más útil para cualquier organización: una función de apoyo con acceso a un sistema que toca los pagos de otras personas bastó para alterar un dato crítico, y fue necesario un análisis técnico posterior para identificar quién lo había hecho.


Lo que la ley laboral no resuelve cuando alguien asciende o rota

Una empresa privada mexicana no está sujeta al régimen de responsabilidades de los servidores públicos, pero la lógica del caso se traslada sin esfuerzo. Una persona ingresa, supera un proceso de selección más o menos riguroso según el puesto y, con los años, rota de área, asciende o asume tareas que antes no tenía. En cada paso suele acumular permisos: aprobar pagos, modificar datos maestros de proveedores o de personal, administrar usuarios.


Aquí la Ley Federal del Trabajo, en su texto consolidado por la Cámara de Diputados con última reforma del 14 de mayo de 2026, tiene un matiz poco comentado. El artículo 39-D dispone que los periodos a prueba y de capacitación inicial son improrrogables y que, dentro de una misma empresa, no pueden aplicarse a la misma persona de forma sucesiva ni "tratándose de puestos de trabajo distintos, o de ascensos". Es una protección a los derechos de seguridad social del trabajador, y tiene sentido como tal. Pero deja un efecto práctico: cuando alguien pasa a una función de mayor responsabilidad, la ley no ofrece una segunda ventana formal para comprobar si encaja en ella. Si la organización quiere revisar el acceso que acompaña al nuevo puesto, deberá hacerlo con sus propios controles, no con una figura laboral. No se trata de una laguna que la ley deba llenar, sino de un recordatorio de que esa revisión es, ante todo, una decisión de gestión interna.


Qué dicen los estándares y qué dicen los datos

Los marcos reconocidos de seguridad y control interno abordan este asunto, aunque como estándares voluntarios y no como obligaciones generales. La norma ISO/IEC 27001:2022, cuya edición vigente incluye la enmienda de 2024 sobre acción climática, contempla dentro de su Anexo A el control 5.18 sobre derechos de acceso: asignarlos mediante un proceso formal, revisarlos, modificarlos cuando cambia la función de la persona y retirarlos cuando dejan de ser necesarios. El marco COSO de control interno, por su parte, incluye entre las actividades de control la segregación de funciones, es decir, evitar que una misma persona concentre la capacidad de iniciar, aprobar y registrar una operación. Ninguno de los dos es ley en México. Se vuelven exigibles cuando un contrato, una certificación que la empresa decidió obtener o una regulación sectorial específica así lo determinan, y de lo contrario son una guía de buena práctica.


Los datos internacionales conviene leerlos con la misma cautela. El Data Breach Investigations Report 2025 de Verizon analizó 22,052 incidentes de seguridad, de los cuales 12,195 fueron brechas confirmadas, con víctimas de 139 países. Según su resumen ejecutivo, el elemento humano estuvo presente en alrededor de 60% de las brechas y la participación de actores internos varía mucho por sector: 38% en servicios educativos, 30% en salud y apenas 3% en comercio minorista. El patrón de uso indebido de privilegios representó 6% en esa edición, frente a 8% en la anterior. Es un estudio con metodología y universo propios, que no mide la realidad mexicana. Lo que aporta es un marco: buena parte del riesgo asociado a personas no proviene de un plan trazado desde el primer día, sino de accesos que se acumulan sin que ninguna instancia los vuelva a mirar.


Datos personales, proporcionalidad y gestión del riesgo de personas

Una nómina es, además, una base de datos personales. En el sector privado, la Ley Federal de Protección de Datos Personales en Posesión de los Particulares exige en su artículo 18 que todo responsable establezca y mantenga medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos contra daño, pérdida, alteración, destrucción o uso, acceso o tratamiento no autorizado, y en su artículo 20 que quienes intervengan en el tratamiento guarden confidencialidad. Quién puede modificar la cuenta bancaria de otra persona es, literalmente, una cuestión de acceso y alteración de datos personales. La autoridad competente es hoy la Secretaría Anticorrupción y Buen Gobierno, que asumió las funciones del extinto INAI, y el reglamento actualizado sigue pendiente, de modo que el de 2011 se aplica de manera supletoria.


Esa misma ley sirve de criterio contra el exceso. Plantear la revisión de accesos no equivale a investigar de forma permanente a cada empleado ni a tratar cada ascenso como una sospecha, enfoque costoso, invasivo y contrario al principio de proporcionalidad del artículo 5. Human Risk Management, entendido como la gestión estructurada de los riesgos asociados a personas, funciones, accesos y decisiones, y no como vigilancia, propone otra pregunta: qué función concreta cumple hoy esta persona, a qué información o a qué pagos llega, y si el control que se aplicó cuando ingresó sigue siendo el adecuado. "Lo que debe revisarse es la función y el acceso que la acompaña, no la antigüedad ni la persona; la confianza construida con los años es un activo real, pero no sustituye una pregunta explícita cuando el puesto cambia", señala Guido Schenone, Comercial & Growth Manager de Validato. Validato, compañía especializada en Background Screening y Human Risk Management con presencia en México, describe sus procesos como estructurados en función del rol, el riesgo y la exposición de cada posición, sin que esto implique que revoque o administre accesos en los sistemas de una empresa, monitoree a sus empleados, detecte fraudes de forma automática ni garantice que un incidente no ocurra.


La pregunta que suele quedar sin dueño

En muchas empresas mexicanas, un cambio de área se resuelve con frases conocidas: "lo conoce el director", "lleva años aquí", "siempre se ha hecho así". Ninguna es necesariamente falsa. Pero ninguna responde a lo que el caso del Tribunal de Disciplina Judicial deja flotando: cuando una función con acceso a pagos o a datos de otras personas cambia de manos o de contenido, ¿quién revisa si el control cambió con ella? En una organización puede ser Recursos Humanos, Tecnología, Finanzas, Compliance o Auditoría Interna. Lo único claro es que, si todas suponen que lo hace otra, es probable que nadie lo haga.


Fuentes y marco normativo consultado

• La Jornada, "Tribunal de Disciplina Judicial inhabilita a funcionario que robó salario de otro compañero" (21 de mayo de 2026)

• El Universal, "Inhabilitan a trabajador del Poder Judicial por tres años; robó pago de nómina a compañero" (mayo de 2026), sobre las funciones de apoyo en sistemas informáticos y el inicio del procedimiento el 7 de abril de 2025

• El Imparcial, "Inhabilitan por 3 años a funcionario que cambió la cuenta bancaria de un compañero..." (22 de mayo de 2026), sobre la resolución de la Comisión de Disciplina del Tribunal de Disciplina Judicial

• Ley Federal del Trabajo, art. 39-D (improrrogabilidad de los periodos a prueba y de capacitación inicial; no aplican a puestos distintos ni ascensos), texto consolidado de la Cámara de Diputados, última reforma del 14 de mayo de 2026

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares, arts. 5 (principios, incluida la proporcionalidad), 18 (medidas de seguridad) y 20 (confidencialidad), texto consolidado de la Cámara de Diputados

• Reglamento de la LFPDPPP de 2011, aplicable de forma supletoria mientras el reglamento actualizado sigue pendiente de publicación; Decreto publicado en el Diario Oficial de la Federación el 20 de marzo de 2025 que transfirió la competencia a la Secretaría Anticorrupción y Buen Gobierno

• Verizon, 2025 Data Breach Investigations Report, resumen ejecutivo (estudio internacional, no específico de México)

• ISO/IEC 27001:2022 y enmienda 1:2024, Anexo A, control 5.18 (derechos de acceso); estándar voluntario salvo requisito contractual o sectorial