Four-Eyes Escrow: Dos operadores para el paso de depósito

El paso del depósito es donde el dinero se vuelve real por primera vez. El comprador transfiere fondos; alguien en el andén marca el cable como recibido; a partir de ese momento el vendedor puede realizar el envío. Si "alguien" es un solo operador, un solo error o un solo mal actor puede activar una señal de depósito aún no llegado a recibido y permitir que los bienes salgan del almacén sin pago. El control de cuatro ojos cierra esa puerta.

Dos operadores, dos roles

Un operador propone la confirmación del depósito: han visto el informe de conciliación IBAN o el extracto bancario, la referencia estructurada coincide con el ID del depósito en garantía y registran su propuesta en la página de detalles del depósito en garantía. Un segundo operador aprueba: verifican la misma evidencia de forma independiente y hacen clic en Aprobar. El depósito en garantía pasa a retenido sólo después de la aprobación; antes de eso, permanece en el estado "depósito pendiente" independientemente de cómo lo registró el proponente.

Por qué dos pares de ojos

Porque los equipos financieros lo esperan, los auditores lo buscan, y el modo de falla sin él es del tipo que se descubre después de que un comprador ya recibió bienes en un depósito que nunca fue pagado. El control de cuatro ojos es el tipo de característica de cumplimiento que no impide que el caso común ocurra rápidamente (tanto el proponente como el aprobador pueden borrar la cola en unos minutos), pero sí evita que el caso raro ocurra solo.

La fila de auditoría

El evento de confirmación de depósito en escrow_events registra a ambos actores: el proponente, el aprobador, las marcas de tiempo de cada uno, las referencias de evidencia de cada uno citado (el ID del archivo del extracto bancario, el ID de la fila de conciliación) y la transición de estado resultante. Un auditor que lee la disputa un año después ve quién aceptó marcar el depósito como confirmado, con evidencia que lo corrobora, en lugar de que un usuario lo diga.

Guardia misma persona

El proponente

A no puede ser su propio aprobador. La acción Aprobar está cerrada en user_id ≠ proponer_user_id. La verificación se ejecuta en la capa API y en el activador de la base de datos, por lo que la propiedad del segundo par de ojos se aplica incluso si la interfaz de usuario de alguna manera lo deja escapar. Los inquilinos que son demasiado pequeños para tener dos operadores (algo poco común, pero sucede) pueden configurar la política para que requiera la aprobación del personal de la plataforma: el mismo control con un segundo par diferente.

Lo que no cubre

El control de cuatro ojos está específicamente en el lado del depósito. El lado de la liberación tiene sus propios controles: aceptación explícita del comprador, rutas de disputa o ventana de liberación automática (consulte depósito en garantía-liberación automática). Ambos lados combinados producen un flujo donde ni el depósito ni la liberación dependen de una sola acción humana.