El usuario pide la acción. No modifica datos críticos directamente.
El sistema verifica reglas y consistencia antes de permitir cambios.
Un rol distinto autoriza. Se aplica separación de funciones.
Un procedimiento autorizado realiza la transacción en los datos.
Se registra quién pidió, quién aprobó y qué se cambió.