Roles y permisos

Cada usuario del backoffice tiene un único rol que define qué puede hacer dentro del sistema. El rol lo asigna un Administrador en el momento de dar de alta al usuario y se puede modificar después; no es posible que un mismo usuario tenga dos roles a la vez.

Los cuatro roles

Administrador

Acceso total al sistema:

• Toda la operación diaria (cuentas, alertas, requerimientos, auditoría).
• La configuración de parámetros (matriz de riesgo, perfil del inversor, campos configurables, requerimientos documentales, productores, integraciones, etc.).
• La gestión de usuarios del backoffice: alta, edición, baja, reset de contraseña y reset de 2FA.

Es el rol que se asigna al responsable de cumplimiento o al área que administra el sistema dentro de la empresa.

Oficial

Operación completa del día a día, sin acceso a configuración ni a gestión de usuarios:

• Crea, edita y revisa cuentas.
• Toma y resuelve alertas.
• Aprueba legajos, incluidos los de riesgo alto.

Es el rol típico para un oficial de cumplimiento o un analista senior con autoridad para firmar las aprobaciones de mayor exposición.

Analista

Mismo alcance operativo que un Oficial, excepto que no puede aprobar legajos de riesgo alto. Esos quedan reservados para Oficial o Administrador.

Es el rol típico para un analista junior o para personas cuya operación requiere una segunda mirada antes de aprobar los casos más sensibles.

Consulta

Acceso de sólo lectura. Puede ver toda la información del sistema —cuentas, alertas, requerimientos, auditoría— pero no puede modificar nada, ni aprobar, ni cargar documentos.

Es el rol típico para áreas con necesidad de visibilidad pero sin operación: auditoría interna, dirección, control interno o auditores externos invitados temporalmente.

Matriz resumen

Acción	Administrador	Oficial	Analista	Consulta
Ver cuentas, alertas, requerimientos, auditoría	✔	✔	✔	✔
Crear y editar cuentas	✔	✔	✔	—
Tomar y resolver alertas	✔	✔	✔	—
Aprobar legajos	✔	✔	✔	—
Aprobar legajos de riesgo alto	✔	✔	—	—
Configurar parámetros del sistema	✔	—	—	—
Gestionar usuarios del backoffice	✔	—	—	—

Cómo se ve el menú según el rol

El menú principal varía con el rol:

• Administrador: ve todo el menú, incluidos Usuarios y Configuración.
• Oficial / Analista: ven la operación diaria pero NO ven Usuarios ni Configuración.
• Consulta: ve la operación diaria. Las acciones que implican modificar (botones de "Aprobar", "Editar", "Cargar documento", etc.) no aparecen.

Cambiar el rol de un usuario

Sólo un Administrador puede cambiar el rol de otro usuario, desde Usuarios → Editar usuario. El cambio es inmediato (la siguiente acción del usuario afectado ya respeta el nuevo rol) y queda registrado en la auditoría.

Un Administrador no puede asignar el rol Administrador a otro usuario desde la pantalla de gestión: ese rol se asigna sólo en el alta inicial. La razón es de seguridad: limitar la cantidad de personas con permisos plenos al grupo provisionado al inicio.

Primer ingreso de un usuario nuevo

Cuando un Administrador da de alta un nuevo usuario, el sistema:

1. Le envía al usuario un email con un link único para definir su contraseña.
2. La primera vez que el usuario ingresa, el sistema le pide cambiar la contraseña antes de continuar a cualquier otra pantalla.
3. A partir de ahí, el usuario opera normalmente con su rol.

El Administrador no ve ni elige la contraseña del usuario: la define el propio usuario en su primer ingreso. Esto evita que el Administrador comparta una contraseña por canales inseguros (chat, email, papel).