Qui té les claus

En l’assemblea del grup de febrer de 1983, «al principi ningú volia presentar-se» a president ni a tresorer. L’acta no diu per què. Este article és la part pràctica de Un voluntariat sostenible: l’inventari, la cadena de tràmits i què fer quan compartir una contrasenya és inevitable.

Les claus del títol no són les del local. Les d’un local circulen, i està bé que circulen: si en tenen sis persones, entra qui pot. Ací parlem de les altres —la representació legal, el banc, el domini, el correu, els comptes— que són les que sí que se solen concentrar en una persona.

Els dos càrrecs que, al principi, ningú volia

Valencia Luno, segona època, número 5, d’abril de 1983, conta l’assemblea general ordinària que s’havia celebrat el divendres 18 de febrer. Hi van anar pocs socis. Es va aprovar l’acta anterior, el balanç de 1982 i el pressupost de 1983, però el pla d’activitats no es va presentar: amb els canvis que hi havia en la junta, es va considerar que el faria la junta nova que eixira de l’assemblea.

I al final, després d’una llarga conversa:

Komence neniu deziris kandidatiĝi por la postenoj de prezidanto kaj kasisto, sed, finfine, tute sindoneme, akceptis la postenojn, respektive, Pascual Pont Martínez kaj José Pérez Sempere.

«Al principi ningú volia presentar-se als càrrecs de president i tresorer, però, finalment, amb tota abnegació, van acceptar els càrrecs, respectivament, Pascual Pont Martínez i José Pérez Sempere.»

Portada de Valencia Luno, segona època, núm. 5, d'abril de 1983, amb la crònica de l'assemblea general: el pla d'activitats no es presenta perquè canvia la junta, i ningú es vol presentar a president ni a tresorer.

La pàgina diu dues coses i no en diu una tercera. Diu que el pla de l’any no es va presentar perquè canviava la junta —el que sabia la junta eixint se n’anava amb ella— i diu que els dos càrrecs que van costar de cobrir van ser la presidència i la tresoreria. El que no diu enlloc és per què: pot ser el volum de faena, el compromís de dos anys, l’hora de les reunions o qualsevol altra cosa. L’acta no ho explica i nosaltres no ho sabem.

El que sí que es pot dir, sense atribuir-li cap intenció a aquell text, és què són eixos dos càrrecs en qualsevol associació espanyola: la presidència és la representació legal davant del Registre i de l’administració, i la tresoreria és la firma davant del banc. Passe el que passe amb el repartiment intern de la faena, eixes dues coses van lligades al càrrec per llei i per pràctica bancària.

I això és el que este article intenta alleugerir. No es tracta de vigilar qui té accés a què: es tracta que acceptar la presidència o la tresoreria no signifique carregar en solitari amb tot el que ve darrere.

La cadena que es descobrix trencada

En una associació espanyola hi ha una cadena de tràmits que quasi ningú mira fins que la necessita, i que aleshores es recorre en ordre invers i amb pressa.

Figura 1

Els graons són estos:

1. L’acta. L’assemblea nomena la junta i queda en acta, amb noms, DNI, dates de nomenament i acceptació, i firmes.

2. El Registre d’Associacions. El canvi s’ha de comunicar. La Generalitat ho diu així: «Cualquier alteración sustancial de los datos o documentación que obre en el Registro deberá ser objeto de actualización, previa solicitud de la asociación correspondiente, en el plazo de un mes desde que la misma se produzca». Es recolza en la Llei orgànica 1/2002 del dret d’associació i en la Llei 14/2008 d’associacions de la Comunitat Valenciana.

3. El certificat del Registre. És el document que acredita davant de tercers qui és el representant legal hui. I caduca a efectes d’estos tràmits: no val el de fa tres anys.

4. El certificat digital. El certificat de representant de persona jurídica de la FNMT té dos anys de validesa i costa 14 € més impostos. Sense ell no es presenta res per via telemàtica.

5. El banc. Els apoderaments es canvien amb l’acta i el certificat del Registre.

El detall important és que la cadena es trenca pel principi i es nota pel final. Si fa tres anys ningú va comunicar el canvi de junta, el problema no apareix eixe dia: apareix el dia que cal presentar una subvenció i el certificat digital està caducat, i renovar-lo exigix un certificat del Registre que diu que el representant legal és algú que ja no ve.

Els terminis i els requisits canvien; els enllaços de dalt són els oficials i és on convé mirar-los abans de moure res.

L’inventari

La resta és més senzilla del que pareix. És una taula, i cap en un full.

Dues columnes fan tota la faena.

«A nom de qui està» detecta el problema silenciós: el domini registrat amb el correu personal d’algú, el hosting pagat amb una targeta particular, el compte de núvol que és el compte de casa d’un membre. Mentre eixa persona ve, no passa res. Recuperar un domini registrat a nom de qui ja no contesta és una gestió llarga i de vegades impossible.

«Com es recupera» és la que ningú omple i la que decidix tot. Si l’única resposta és «li ho preguntem a ell», eixa fila no està coberta.

I la prova de què val l’inventari no és tindre’l fet: és poder omplir-lo sense consultar la persona que ho porta tot.

El calendari

L’inventari diu què tens. Falta l’altra meitat, la que diu què venç.

Hi ha obligacions que tornen soles cada any i que no avisen ningú: la comunicació al Registre quan canvia la junta, la renovació del certificat digital cada dos anys, la del domini i l’allotjament, les obligacions fiscals, l’assegurança del local.

I n’hi ha que depenen del que siga l’entitat. Una associació declarada d’utilitat pública ha de rendir els comptes de l’exercici anterior en els sis mesos següents al seu tancament, junt amb una memòria descriptiva de les activitats, davant de l’organisme que verifica la seua inscripció; la Llei orgànica 1/2002 ho establix en l’article 34, i incomplir-ho és causa d’incoació del procediment de revocació de la declaració. Una fundació té encara més obligacions davant del seu protectorat.

Quines s’apliquen a cada entitat no es pot resoldre en un article: es mira en el seu Registre, en l’Agència Tributària i, si és una fundació, en el protectorat que li corresponga.

El que sí que es pot dir és què ha de passar amb eixes dates: no poden viure en el cap d’algú. Un calendari compartit de l’entitat, amb dos avisos —un mes abans i la setmana anterior— i amb l’enllaç al tràmit en la descripció, es munta en una vesprada i després no torna a costar res.

Això té nom: coneixement tàcit

Al problema de fons se li diu coneixement tàcit: tot el que una organització sap sense tindre-ho escrit enlloc, perquè viu en el cap de qui ho ha fet sempre. Quin dia es presenta, en quina finestreta, amb quin formulari, què va passar l’any que es va fer tard.

No és una malaltia de les entitats menudes; passa igual en universitats i en empreses grans. La diferència és que ací no hi ha ningú de guàrdia. I no cal imaginar cap desgràcia: basta que la persona que ho sap estiga de vacacions la setmana que toca.

Hui, a més, fer-lo explícit costa menys que mai, perquè escriure-ho ja no vol dir mantindre un arxivador. Amb el registre fet —l’inventari, el calendari, l’informe obert— fins i tot es pot demanar a un assistent automàtic què toca esta setmana. Però convé no invertir l’ordre: eixes eines llegixen el registre; no el substituïxen. Si no hi ha res escrit, no hi ha res que llegir.

Quan compartir una contrasenya és inevitable

Ací convé ser honestos, perquè el consell estàndard —«un compte per persona»— no sempre es pot seguir.

Hi ha tres motius, i cap és negligència. Alguns serveis només oferixen comptes d’equip en plans de pagament, i una associació que es finança amb quotes no sempre pot pagar-los. Altres estan lligats per disseny a un perfil personal: una pàgina d’Instagram o de Facebook s’administra des del compte particular d’algú, no des d’una identitat de l’entitat. I alguns tràmits i comptes antics simplement no contemplen més d’un usuari.

Quan és així, el compte compartit no és una vergonya. És una decisió, i com a decisió es documenta i es gestiona:

• Guardar-la en el gestor de contrasenyes de l’entitat, mai en notes personals, correus particulars ni missatges de xat.
• No reutilitzar-la en res més. Una credencial compartida és, per definició, una credencial que acabarà sabent gent que ja no hauria de saber-la; que això només afecte un servei.
• Anotar qui la sap. És l’única casella de l’inventari que es podrix sola: la gent entra i ix, i la llista es queda igual.
• Mirar si el servei té tarifa per a entitats sense ànim de lucre abans de rendir-se al compte compartit. Moltes plataformes en tenen, i no sempre estan a la vista.

El protocol de rotació

I ací hi ha la pregunta de veres: quan es canvia?

En una empresa la resposta és fàcil: quan algú se’n va. El disparador és l’esdeveniment, no el calendari, i és millor així —rotar per calendari mentre s’ignora una eixida és pitjor que no rotar.

Però en una associació ningú se’n va. No hi ha carta de baixa ni últim dia: la gent deixa de vindre. Passen tres mesos i encara no saps si ho ha deixat o si ha tingut un mal any. Eixe dia, el dia en què s’hauria de canviar la contrasenya, simplement no existix.

Per això, ací i no en una empresa, la rotació per calendari es guanya el lloc: no com a ideal de seguretat, sinó com a xarxa que arreplega el que la baixa no arreplega mai.

El moment natural és l’assemblea general anual, que és quan es renova la junta i quan, de totes maneres, cal tocar el Registre, el certificat i el banc. Un punt més en la mateixa llista:

1. Renovar la junta i comunicar-ho al Registre.
2. Revisar l’inventari fila per fila.
3. Canviar les credencials compartides i les de qualsevol persona que haja deixat una responsabilitat des de l’última assemblea.
4. Comprovar que cada servei crític continua tenint dos administradors.

Quatre punts, una vegada l’any, en una reunió que ja es fa.

La verificació en dos passos, sense enganyar-nos

Queda un cas incòmode. Si un compte compartit té verificació en dos passos, el segon factor sol estar en el mòbil d’una persona — i tornem al punt de partida: l’entitat depén d’un telèfon particular.

La solució practicable és guardar el segon factor en el gestor de contrasenyes de l’entitat, junt amb els codis de recuperació. Convé dir clarament què perd això: si la contrasenya i el segon factor viuen al mateix lloc, ja no són dos factors, són un. És una protecció més feble que la que hi hauria amb comptes individuals.

I tot i així, per a una associació menuda sol ser la millor opció disponible: el risc que algú entre en el gestor de contrasenyes de l’entitat és molt menor que el risc, quasi segur amb el temps, que un dia ningú puga entrar en el compte.

Això és el que fa una decisió i no una deixadesa: saber què estàs canviant per què.

La prova

Torna a la taula i mira-la com si la persona que ho porta tot no contestara el telèfon.

Quantes caselles pots omplir?

Les que et falten no són un retret a ningú. Són, exactament, la faena que li has estat estalviant a l’associació sense saber-ho — i el pes que li has estat posant damunt a una persona que, algun dia, voldrà deixar-ho.

La tercera part d’esta sèrie va sobre el ritme amb què s’omplin eixes caselles: L’informe que s’escriu tot l’any.

Fonts

• Valencia Luno, dua epoko, núm. 5 (abril de 1983), p. 1: «Ĝenerala Ordinara Asembleo de nia grupo por 1983». Transcripció íntegra
• Generalitat Valenciana. «Comunicación de renovación de la junta directiva de asociaciones, federaciones, confederaciones y uniones de asociaciones», termini d’un mes; Llei orgànica 1/2002 i Llei 14/2008 de la Generalitat.
• FNMT-RCM. «Certificado de Representante de Persona Jurídica»: dos anys de validesa, 14 € més impostos.
• National Cyber Security Centre. Small organisations guide to cyber security i Cyber Security: Small Charity Guide
• Charity Commission for England and Wales. Internal financial controls for charities (CC8)

La traducció al valencià de la citació de Valencia Luno és nostra. Els terminis i requisits administratius canvien: els enllaços van a la font oficial, que és on cal comprovar-los. Este article és una proposta de mètode, no assessorament jurídic.