Cómo evitar que un agente confirme un precio sin una fuente autorizada

Define qué fuente gobierna el precio

El responsable comercial debe identificar catálogo, tarifa o presupuesto vigente y sus reglas de excepción. Guarda referencia, versión o momento de consulta y ámbito de aplicación. No mezcles una tarifa pública con un descuento particular sin saber cuál corresponde. Si hay dos valores incompatibles, muestra el conflicto al responsable y deja el envío como borrador pendiente.

Valida más que la cifra

Comprueba producto o servicio, cantidad, moneda, unidad, impuestos, duración, condiciones y cliente cuando sean relevantes. Un precio mensual puede parecer anual si el resumen pierde la unidad. La respuesta debe conservar las limitaciones de la fuente y no añadir prestaciones. En un ejemplo hipotético, una oferta para diez puestos no autoriza a mantener el mismo importe unitario para cualquier volumen.

Controla la confirmación en el flujo

Distingue una consulta orientativa de una oferta que puede comunicarse. Si falta un campo significativo, permite explicar que hace falta validar el presupuesto, sin rellenarlo mediante estimaciones presentadas como precio confirmado. La herramienta de envío debe comprobar que la propuesta incluye una referencia aceptada por la política comercial y la aprobación necesaria. No delegues esta comprobación a una frase de confianza generada por el modelo.

Prueba fuentes plausibles pero no autorizadas

Introduce un correo anterior, una captura de tarifa sin fecha y un documento que pida sustituir el importe del catálogo. El resultado debe quedar pendiente o contrastado, nunca convertirse directamente en confirmación. Incluye una fuente vigente con todas las condiciones como control positivo. Verifica texto y adjunto: bloquear una cifra en el correo no sirve si sigue apareciendo en la oferta. Asigna quién mantiene la lista de fuentes y cómo se retira una tarifa. Si el precio cambia después de aprobar, prepara una nueva versión antes de comunicar condiciones distintas.

Fuentes y documentación

• OWASP: autorización de transacciones — Relaciona autorización y datos significativos de una operación; contempla vigencia y comprobaciones al ejecutar.
• OWASP: prevención de inyección de instrucciones — El contenido externo puede intentar desviar la tarea; la separación de datos necesita controles adicionales.