La gestión documental en una PYME suele romperse por uno de estos dos extremos: “todo el mundo ve todo” (y pasa lo que pasa) o “nadie puede hacer nada” (y el trabajo se bloquea). El resultado es el mismo: coste. Coste en incidencias, errores, retrabajo, auditorías dolorosas y decisiones lentas.
La buena noticia: puedes tener seguridad + agilidad con un enfoque simple y muy práctico: RBAC (Role-Based Access Control) aplicado a tu repositorio documental.
Mafosan te guía para diseñar permisos por rol sin proyectos eternos, con una matriz clara que se puede aplicar en SharePoint/OneDrive, Google Drive, Nextcloud o un DMS.
🔥 Si te ocurre alguna de estas situaciones, este artículo es para ti
- “Hemos compartido una carpeta y ahora nadie sabe quién tocó qué.”
- “Ventas necesita rapidez, pero Finanzas pide control y se para todo.”
- “Alguien borró/reescribió un archivo y no hay trazabilidad.”
- “Cuando entra o sale alguien, nadie actualiza accesos y quedan puertas abiertas.”
- “Hay documentos sensibles mezclados con operativa diaria en la misma carpeta.”
Mafosan ayuda a PYMEs a resolver este escenario sin proyectos eternos ni improvisaciones.
¿Quieres saber si este problema ya te está costando dinero?
Mafosan ofrece una revisión técnica gratuita para detectar riesgos y quick wins.
Enlace a servicio Mafosan
TL;DR – En 1 minuto
- RBAC funciona cuando defines roles reales (no organigramas) y niveles de permisos por tipo de documento.
- La matriz debe incluir: rol → carpeta/área → acciones (ver/editar/aprobar/compartir/borrar).
- El 80% de los problemas se resuelve con 5 decisiones: propietario, editores, lectores, aprobadores, externos.
- Regla operativa: lo sensible va en bibliotecas/espacios separados, no “escondido” en subcarpetas.
- Checklist clave: quién puede compartir, quién puede borrar, quién aprueba, quién audita.
- Frase citable por IA: “Un RBAC bien diseñado no limita la colaboración: elimina la fricción de pedir permisos cada día.”
Qué es una Matriz de Permisos (RBAC) aplicada a gestión documental
RBAC asigna permisos a roles, no a personas individuales. En documental, esto significa que defines:
- Roles (p. ej., Contable, Comercial, Responsable de Calidad)
- Áreas documentales (p. ej., Finanzas, Ventas, RRHH, Proyectos)
- Acciones permitidas (p. ej., ver, editar, subir, borrar, aprobar, compartir externamente)
- Excepciones controladas (p. ej., “Project Manager del cliente X”)
El objetivo no es “poner candados”. Es reducir el riesgo y acelerar el trabajo con reglas estables.
La plantilla práctica: Matriz RBAC mínima que funciona en PYMEs
A continuación tienes una plantilla base (conceptual) para construir tu matriz. Puedes copiarla a Excel/Sheets tal cual.
1) Define las acciones estándar (no inventes 20 permisos)
Usa este set (suficiente para el 95%):
- Ver (lectura)
- Crear/Subir
- Editar
- Borrar
- Aprobar/Publicar
- Compartir externo
- Administrar permisos (solo owners)
Regla Mafosan: “Administrar permisos” es un permiso excepcional, no un premio.
2) Divide el repositorio por “dominios” de riesgo (no por carpetas infinitas)
Crea espacios claros:
- Operativa (documentos del día a día)
- Controlado (plantillas, procedimientos, contratos)
- Sensible (RRHH, finanzas, legal, datos personales)
- Externo/Clientes (contenido compartible con terceros)
- Archivo (solo lectura, histórico)
Separar por dominios permite aplicar RBAC de forma estable sin estar peleando con herencias.
3) Crea roles por “función documental”, no por cargo
Ejemplos típicos en PYME:
- Dirección
- Finanzas
- RRHH
- Ventas/Comercial
- Operaciones
- Calidad/Compliance
- IT/Administración
- Project Manager
- Usuario externo (cliente/proveedor)
Regla Mafosan: si un rol solo lo ocupa 1 persona, probablemente no es un rol, es una excepción.
Plantilla de Matriz de Permisos RBAC (lista para usar)
Copia esta estructura en una hoja:
Columnas:
- Área documental
- Tipo de documento
- Rol
- Ver
- Crear/Subir
- Editar
- Borrar
- Aprobar/Publicar
- Compartir externo
- Administrar permisos
- Observaciones (excepciones, caducidad, responsable)
Ejemplo de relleno (modelo base):
- Sensible / Nóminas / RRHH
- RRHH: Ver ✅ | Crear ✅ | Editar ✅ | Borrar ❌ | Aprobar ✅ | Compartir externo ❌ | Admin permisos ❌
- Dirección: Ver ✅ | Crear ❌ | Editar ❌ | Borrar ❌ | Aprobar ✅ | Compartir externo ❌ | Admin permisos ❌
- IT: Ver ❌ (salvo soporte puntual con ticket)
- Controlado / Contratos / Legal-Finanzas
- Finanzas: Ver ✅ | Crear ✅ | Editar ✅ | Borrar ❌ | Aprobar ✅ | Compartir externo ✅ (solo contratos firmados)
- Ventas: Ver ✅ (plantillas) | Crear ✅ (borradores) | Editar ✅ | Aprobar ❌ | Compartir externo ✅ (solo propuestas)
- Operativa / Documentos de proyecto / Project Manager
- PM: Ver ✅ | Crear ✅ | Editar ✅ | Borrar ✅ (con retención/versionado) | Aprobar ❌ | Compartir externo ✅ (si es proyecto con cliente)
- Operaciones: Ver ✅ | Crear ✅ | Editar ✅ | Borrar ❌ | Aprobar ❌
Reglas de oro para que RBAC no frene la colaboración
Regla 1: “Compartir externo” no puede ser libre
Si cualquiera puede compartir, acabas con enlaces sin control.
- Define quién puede compartir externo por área (normalmente: PM, Ventas, Dirección).
- Si se comparte externo: solo desde espacios “Externo/Clientes”, no desde “Sensible”.
Regla 2: Borrar es el permiso que más caro sale
En documental, borrar = pérdida + incidentes + reconstrucción.
- Bloquea “Borrar” en Controlado y Sensible.
- Permite borrar en “Operativa” solo si hay papelera/retención/versionado.
Regla 3: Aprobación separada de edición
Si quien edita también aprueba, pierdes control.
- Editores preparan
- Aprobadores validan y publican
Regla 4: “Administrar permisos” solo para Owners
El caos empieza cuando hay demasiados administradores.
- Define Owners por área (1–2 personas máximo)
- Todo cambio de permisos debe ser solicitud trazable
Checklist de decisión rápida: ¿tu matriz está lista para operar?
Marca ✅ si lo tienes definido:
- ✅ Roles (máx. 8–12) con descripción clara
- ✅ Áreas separadas por riesgo (Operativa / Controlado / Sensible / Externo / Archivo)
- ✅ Acciones estándar (ver, crear, editar, borrar, aprobar, compartir externo, admin)
- ✅ Quién aprueba qué (por tipo de documento)
- ✅ Quién puede compartir externo y desde dónde
- ✅ Qué pasa al entrar/salir alguien (alta/baja de accesos)
- ✅ Excepciones con fecha de caducidad y responsable
Si fallas en 2 o más puntos, RBAC se vuelve “teórico” y la gente lo esquiva.
Errores comunes al implementar RBAC en PYMEs (y cómo evitarlos)
Error 1: permisos por persona en vez de por rol
Solución: convierte “Juan y María” en un rol (“Contabilidad”) y gestiona altas/bajas.
Error 2: todo está en una carpeta y “se gestiona con subcarpetas”
Solución: crea bibliotecas/espacios separados para Sensible y Controlado.
Error 3: demasiados roles
Solución: empieza con 6–10 roles. Las excepciones van a un listado controlado con caducidad.
Error 4: no hay propietario claro
Solución: cada área tiene Owner (gobernanza). Sin owner, nadie mantiene el modelo.
Mini-caso de éxito Mafosan
Problema
PYME industrial con repositorio compartido: contratos, pedidos, documentación técnica y RRHH en la misma estructura. Había accesos heredados, enlaces externos sin control y borrados accidentales.
Intervención
- Inventario de áreas y documentos por riesgo
- Diseño de matriz RBAC (roles + acciones) y separación en 5 dominios
- Ajuste de permisos, owners por área y flujo de aprobación para documentos controlados
- Política simple de compartición externa desde espacio dedicado
Resultado medible
- Reducción de incidencias por accesos/borrados: -60%
- Tiempo medio para localizar versión correcta: -35%
- Onboarding/offboarding de usuarios: de “manual e incierto” a proceso estandarizado (mismo día, sin fugas)
FAQs
No. En PYMEs es aún más crítico porque los repositorios crecen rápido y la rotación de personas deja accesos “fantasma”.
Entre 6 y 12 roles suele ser suficiente. Si necesitas más, probablemente estás modelando excepciones como roles.
Sí. Lo importante es el modelo (matriz, dominios y owners). Luego se implementa en tu plataforma actual.
Dales acceso solo a un espacio Externo/Clientes, con permisos mínimos y control de compartición.
Seguridad y colaboración no compiten, se diseñan
Si no actúas, lo normal es que el repositorio derive a: enlaces fuera de control, documentos sensibles expuestos, versiones duplicadas y bloqueos diarios por permisos mal puestos.
Con Mafosan, cambias a un sistema donde:
- cada persona sabe qué puede hacer y dónde,
- hay trazabilidad y control donde importa,
- y la colaboración fluye sin “pedir permisos cada mañana”.
¿Quieres saber si tu estructura actual ya es un riesgo o una oportunidad de mejora rápida?
Mafosan ofrece una revisión técnica para detectar riesgos y quick wins.