Quién tiene las llaves

En la asamblea del grupo de febrero de 1983, «al principio nadie quería presentarse» a presidente ni a tesorero. El acta no dice por qué. Este artículo es la parte práctica de Un voluntariado sostenible: el inventario, la cadena de trámites y qué hacer cuando compartir una contraseña es inevitable.

Las llaves del título no son las del local. Las de un local circulan, y está bien que circulen: si las tienen seis personas, entra quien puede. Aquí hablamos de las otras —la representación legal, el banco, el dominio, el correo, las cuentas—, que son las que sí suelen concentrarse en una persona.

Los dos cargos que, al principio, nadie quería

Valencia Luno, segunda época, número 5, de abril de 1983, cuenta la asamblea general ordinaria que se había celebrado el viernes 18 de febrero. Fueron pocos socios. Se aprobó el acta anterior, el balance de 1982 y el presupuesto de 1983, pero el plan de actividades no se presentó: con los cambios que había en la junta, se consideró que lo haría la junta nueva que saliera de la asamblea.

Y al final, después de una larga conversación:

Komence neniu deziris kandidatiĝi por la postenoj de prezidanto kaj kasisto, sed, finfine, tute sindoneme, akceptis la postenojn, respektive, Pascual Pont Martínez kaj José Pérez Sempere.

«Al principio nadie quería presentarse a los cargos de presidente y tesorero, pero, finalmente, con toda abnegación, aceptaron los cargos, respectivamente, Pascual Pont Martínez y José Pérez Sempere.»

Portada de Valencia Luno, segunda época, núm. 5, de abril de 1983, con la crónica de la asamblea general: el plan de actividades no se presenta porque cambia la junta, y nadie se quiere presentar a presidente ni a tesorero.

La página dice dos cosas y no dice una tercera. Dice que el plan del año no se presentó porque cambiaba la junta —lo que sabía la junta saliente se iba con ella— y dice que los dos cargos que costó cubrir fueron la presidencia y la tesorería. Lo que no dice en ninguna parte es por qué: puede ser el volumen de trabajo, el compromiso de dos años, la hora de las reuniones o cualquier otra cosa. El acta no lo explica y nosotros no lo sabemos.

Lo que sí se puede decir, sin atribuirle ninguna intención a aquel texto, es qué son esos dos cargos en cualquier asociación española: la presidencia es la representación legal ante el Registro y ante la administración, y la tesorería es la firma ante el banco. Pase lo que pase con el reparto interno del trabajo, esas dos cosas van ligadas al cargo por ley y por práctica bancaria.

Y eso es lo que este artículo intenta aligerar. No se trata de vigilar quién tiene acceso a qué: se trata de que aceptar la presidencia o la tesorería no signifique cargar en solitario con todo lo que viene detrás.

La cadena que se descubre rota

En una asociación española hay una cadena de trámites que casi nadie mira hasta que la necesita, y que entonces se recorre en orden inverso y con prisa.

Figura 1

Los peldaños son estos:

1. El acta. La asamblea nombra la junta y queda en acta, con nombres, DNI, fechas de nombramiento y aceptación, y firmas.

2. El Registro de Asociaciones. El cambio debe comunicarse. La Generalitat lo dice así: «Cualquier alteración sustancial de los datos o documentación que obre en el Registro deberá ser objeto de actualización, previa solicitud de la asociación correspondiente, en el plazo de un mes desde que la misma se produzca». Se apoya en la Ley orgánica 1/2002 del derecho de asociación y en la Ley 14/2008 de asociaciones de la Comunitat Valenciana.

3. El certificado del Registro. Es el documento que acredita ante terceros quién es el representante legal hoy. Y caduca a efectos de estos trámites: no vale el de hace tres años.

4. El certificado digital. El certificado de representante de persona jurídica de la FNMT tiene dos años de validez y cuesta 14 € más impuestos. Sin él no se presenta nada por vía telemática.

5. El banco. Los apoderamientos se cambian con el acta y el certificado del Registro.

El detalle importante es que la cadena se rompe por el principio y se nota por el final. Si hace tres años nadie comunicó el cambio de junta, el problema no aparece ese día: aparece el día en que hay que presentar una subvención y el certificado digital está caducado, y renovarlo exige un certificado del Registro que dice que el representante legal es alguien que ya no viene.

Los plazos y los requisitos cambian; los enlaces de arriba son los oficiales y es donde conviene mirarlos antes de mover nada.

El inventario

El resto es más sencillo de lo que parece. Es una tabla, y cabe en una hoja.

Dos columnas hacen todo el trabajo.

«A nombre de quién está» detecta el problema silencioso: el dominio registrado con el correo personal de alguien, el hosting pagado con una tarjeta particular, la cuenta de nube que es la cuenta de casa de un miembro. Mientras esa persona viene, no pasa nada. Recuperar un dominio registrado a nombre de quien ya no contesta es una gestión larga y a veces imposible.

«Cómo se recupera» es la que nadie rellena y la que lo decide todo. Si la única respuesta es «se lo preguntamos a él», esa fila no está cubierta.

Y la prueba de lo que vale el inventario no es tenerlo hecho: es poder rellenarlo sin consultar a la persona que lo lleva todo.

El calendario

El inventario dice qué tienes. Falta la otra mitad, la que dice qué vence.

Hay obligaciones que vuelven solas cada año y que no avisan a nadie: la comunicación al Registro cuando cambia la junta, la renovación del certificado digital cada dos años, la del dominio y el alojamiento, las obligaciones fiscales, el seguro del local.

Y hay otras que dependen de lo que sea la entidad. Una asociación declarada de utilidad pública debe rendir las cuentas del ejercicio anterior en los seis meses siguientes a su cierre, junto con una memoria descriptiva de las actividades, ante el organismo que verifica su inscripción; la Ley Orgánica 1/2002 lo establece en su artículo 34, e incumplirlo es causa de incoación del procedimiento de revocación de la declaración. Una fundación tiene todavía más obligaciones ante su protectorado.

Cuáles se aplican a cada entidad no se puede resolver en un artículo: se mira en su Registro, en la Agencia Tributaria y, si es una fundación, en el protectorado que le corresponda.

Lo que sí se puede decir es qué debe pasar con esas fechas: no pueden vivir en la cabeza de alguien. Un calendario compartido de la entidad, con dos avisos —un mes antes y la semana anterior— y con el enlace al trámite en la descripción, se monta en una tarde y después no vuelve a costar nada.

Esto tiene nombre: conocimiento tácito

Al problema de fondo se le llama conocimiento tácito: todo lo que una organización sabe sin tenerlo escrito en ninguna parte, porque vive en la cabeza de quien lo ha hecho siempre. Qué día se presenta, en qué ventanilla, con qué formulario, qué pasó el año que se hizo tarde.

No es una enfermedad de las entidades pequeñas; pasa igual en universidades y en empresas grandes. La diferencia es que aquí no hay nadie de guardia. Y no hace falta imaginar ninguna desgracia: basta con que la persona que lo sabe esté de vacaciones la semana que toca.

Hoy, además, hacerlo explícito cuesta menos que nunca, porque escribirlo ya no significa mantener un archivador. Con el registro hecho —el inventario, el calendario, el informe abierto— incluso se le puede pedir a un asistente automático qué toca esta semana. Pero conviene no invertir el orden: esas herramientas leen el registro; no lo sustituyen. Si no hay nada escrito, no hay nada que leer.

Cuando compartir una contraseña es inevitable

Aquí conviene ser honestos, porque el consejo estándar —«una cuenta por persona»— no siempre se puede seguir.

Hay tres motivos, y ninguno es negligencia. Algunos servicios solo ofrecen cuentas de equipo en planes de pago, y una asociación que se financia con cuotas no siempre puede pagarlos. Otros están ligados por diseño a un perfil personal: una página de Instagram o de Facebook se administra desde la cuenta particular de alguien, no desde una identidad de la entidad. Y algunos trámites y cuentas antiguas simplemente no contemplan más de un usuario.

Cuando es así, la cuenta compartida no es una vergüenza. Es una decisión, y como decisión se documenta y se gestiona:

• Guardarla en el gestor de contraseñas de la entidad, nunca en notas personales, correos particulares ni mensajes de chat.
• No reutilizarla en nada más. Una credencial compartida es, por definición, una credencial que acabará sabiendo gente que ya no debería saberla; que eso solo afecte a un servicio.
• Anotar quién la sabe. Es la única casilla del inventario que se pudre sola: la gente entra y sale, y la lista se queda igual.
• Mirar si el servicio tiene tarifa para entidades sin ánimo de lucro antes de rendirse a la cuenta compartida. Muchas plataformas la tienen, y no siempre está a la vista.

El protocolo de rotación

Y aquí está la pregunta de verdad: ¿cuándo se cambia?

En una empresa la respuesta es fácil: cuando alguien se va. El disparador es el acontecimiento, no el calendario, y es mejor así —rotar por calendario mientras se ignora una salida es peor que no rotar.

Pero en una asociación nadie se va. No hay carta de baja ni último día: la gente deja de venir. Pasan tres meses y todavía no sabes si lo ha dejado o si ha tenido un mal año. Ese día, el día en que habría que cambiar la contraseña, simplemente no existe.

Por eso, aquí y no en una empresa, la rotación por calendario se gana el sitio: no como ideal de seguridad, sino como red que recoge lo que la baja no recoge nunca.

El momento natural es la asamblea general anual, que es cuando se renueva la junta y cuando, de todas maneras, hay que tocar el Registro, el certificado y el banco. Un punto más en la misma lista:

1. Renovar la junta y comunicarlo al Registro.
2. Revisar el inventario fila por fila.
3. Cambiar las credenciales compartidas y las de cualquier persona que haya dejado una responsabilidad desde la última asamblea.
4. Comprobar que cada servicio crítico sigue teniendo dos administradores.

Cuatro puntos, una vez al año, en una reunión que ya se hace.

La verificación en dos pasos, sin engañarnos

Queda un caso incómodo. Si una cuenta compartida tiene verificación en dos pasos, el segundo factor suele estar en el móvil de una persona — y volvemos al punto de partida: la entidad depende de un teléfono particular.

La solución practicable es guardar el segundo factor en el gestor de contraseñas de la entidad, junto con los códigos de recuperación. Conviene decir claramente qué pierde eso: si la contraseña y el segundo factor viven en el mismo sitio, ya no son dos factores, son uno. Es una protección más débil que la que habría con cuentas individuales.

Y aun así, para una asociación pequeña suele ser la mejor opción disponible: el riesgo de que alguien entre en el gestor de contraseñas de la entidad es mucho menor que el riesgo, casi seguro con el tiempo, de que un día nadie pueda entrar en la cuenta.

Eso es lo que hace una decisión y no una dejadez: saber qué estás cambiando por qué.

La prueba

Vuelve a la tabla y mírala como si la persona que lo lleva todo no contestara el teléfono.

¿Cuántas casillas puedes rellenar?

Las que te faltan no son un reproche a nadie. Son, exactamente, el trabajo que le has estado ahorrando a la asociación sin saberlo — y el peso que le has estado poniendo encima a una persona que, algún día, querrá dejarlo.

La tercera parte de esta serie va sobre el ritmo con el que se rellenan esas casillas: El informe que se escribe todo el año.

Fuentes

• Valencia Luno, dua epoko, núm. 5 (abril de 1983), p. 1: «Ĝenerala Ordinara Asembleo de nia grupo por 1983». Transcripción íntegra
• Generalitat Valenciana. «Comunicación de renovación de la junta directiva de asociaciones, federaciones, confederaciones y uniones de asociaciones», plazo de un mes; Ley orgánica 1/2002 y Ley 14/2008 de la Generalitat.
• FNMT-RCM. «Certificado de Representante de Persona Jurídica»: dos años de validez, 14 € más impuestos.
• National Cyber Security Centre. Small organisations guide to cyber security y Cyber Security: Small Charity Guide
• Charity Commission for England and Wales. Internal financial controls for charities (CC8)

La traducción al castellano de la cita de Valencia Luno es nuestra. Los plazos y requisitos administrativos cambian: los enlaces van a la fuente oficial, que es donde hay que comprobarlos. Este artículo es una propuesta de método, no asesoramiento jurídico.