El problema de muchas compras de SaaS no surge en el momento de la firma. Surge meses después, cuando el proveedor deja de responder como había prometido, cambia las condiciones, complica la exportación de datos o te hace asumir responsabilidades que creías que le correspondían a él. En ese momento, el bajo precio inicial desaparece. Lo que queda es la paralización operativa, el riesgo legal y el coste de salida.
Quien dirige una pyme lo sabe bien. La demostración comercial siempre es impecable, pero el contrato, mucho menos. Y cuando el proveedor tiene acceso a datos, procesos críticos o flujos de ventas, una decisión errónea no se limita al ámbito de las tecnologías de la información. Afecta a la administración, al cumplimiento normativo, a la atención al cliente y a la continuidad operativa.
Hablo como empresario que ha vivido disputas reales con proveedores poco transparentes en materia de RGPD, facturación europea, asistencia técnica efectiva y modificaciones unilaterales de las condiciones. La lección es sencilla: la diligencia debida con los proveedores no es una mera formalidad del departamento de compras. Es la forma de evaluar si un proveedor puede convertirse en un punto fuerte o en un riesgo estructural.
Aquí encontrarás un marco práctico para evaluar a un proveedor como si se tratara de un socio. No solo el precio y las funcionalidades, sino también el contrato, la seguridad, la operatividad, la portabilidad y la supervisión continua.
La web está caída justo el peor día posible. Los pedidos se atascan, el equipo comercial escribe en tres canales diferentes y el servicio de atención al cliente no sabe qué decir a los clientes. Abres un ticket «prioritario» con tu proveedor de SaaS y recibes una respuesta automática. Ni un técnico, ni una escalación clara, ni un plazo de resolución en tiempo real.
Es en ese momento cuando te das cuenta de lo que has comprado realmente.
No solo has comprado un servicio. Has comprado la forma en que ese proveedor gestiona los incidentes, la responsabilidad, los datos, el contrato y la rescisión. Si no has comprobado estos aspectos antes, has acumulado una deuda operativa. No se ve en la demo, no aparece en la lista de precios, pero todo sale a la luz cuando el proveedor no da la talla.
Cuando un proveedor falla en un momento crítico, el problema no es solo técnico. Se convierte en un problema comercial, legal y de reputación, todo ello en el mismo día.
Muchos empresarios consideran la diligencia debida del proveedor como un mero trámite administrativo. Comprueban el precio, un par de funciones, quizá alguna certificación en la página de inicio, y luego firman. Es un error muy común. Las preguntas decisivas son otras: quién se responsabiliza de los datos, dónde se almacenan, cómo se exportan, quién te presta asistencia de verdad y qué ocurre si el proveedor cambia de propietario o modifica las condiciones del contrato.
Lo malo es que estas preguntas ralentizan la negociación. Lo bueno es que te ahorran meses de problemas después.
La diligencia debida del proveedor sirve para comprender qué parte del riesgo estás asumiendo al contratar el servicio. No se trata de recopilar documentos para estar tranquilo en el momento de la firma. Se trata de calcular, de antemano, cuánto te costará realmente ese proveedor si algo falla, si cambia la estructura societaria, si el soporte técnico no da la talla o si algún día tienes que rescindir el contrato con urgencia.
Quien ya haya tenido que gestionar una migración forzosa o un incidente mal gestionado lo sabe bien. El problema rara vez se limita al proveedor. Afecta a los procesos internos, paraliza las ventas, absorbe horas del equipo técnico, plantea dudas legales y convierte una cuota aparentemente asequible en una deuda operativa oculta.
Por eso, una diligencia debida rigurosa se desarrolla en cuatro ámbitos concretos:
Regla práctica: si el proveedor tiene que ver con datos, pagos, atención al cliente o un proceso crítico, la diligencia debida debe considerarse como un control de continuidad del negocio, no como un trámite administrativo.
En el contexto italiano, la subestimación sale aún más cara, ya que la cadena de suministro está compuesta en gran parte por pequeñas y medianas empresas, que a menudo dependen en gran medida de terceros. Las pymes representan el 99,9 % de las empresas activas y dan empleo a alrededor del 76,5 % de los trabajadores del sector privado, según los datos facilitados por el Ministerio de Empresas y del «Made in Italy». En un sistema así, el riesgo del proveedor se transmite rápidamente al cliente.
Además, hay un error recurrente. Muchas empresas evalúan a un proveedor sin haber aclarado antes qué es lo que realmente están adquiriendo: infraestructura, plataforma, software de aplicación o una combinación de los tres. Si quieres plantear bien este análisis desde el principio, conviene partir de las diferencias entre los servicios en la nube.
Subestimar la diligencia debida con los proveedores equivale a tratar a un socio comercial como una partida de gastos. Ahí es donde surgen los problemas que nadie menciona en la presentación: procesos internos mal adaptados al proveedor, dependencias técnicas difíciles de eliminar, responsabilidades que solo descubres tras un incidente y costes de salida que aparecen cuando tienes menos margen para negociar.
Una evaluación bien hecha evita sorpresas. Una evaluación mal hecha solo las pospone.
La mayoría de los problemas graves no se deben a un fallo técnico. Se deben a una cláusula que se ha leído demasiado tarde. El contrato te indica quién lleva las riendas cuando algo falla.
A la hora de evaluar a un proveedor, el precio es lo último que hay que tener en cuenta. Lo primero es el alcance jurídico de la relación.
Sal desde estas zonas:
Muchos empresarios interpretan el contrato como un documento que protege al proveedor. Es cierto. Por eso hay que leerlo como un mapa de sus incentivos.
En una reunión comercial conviene ser directo. No sirve de nada hablar como un abogado. Hay que hablar como una empresa que quiere evitar costes ocultos.
Prueba con preguntas como estas:
Un buen contrato no es aquel que lo promete todo. Es aquel que deja pocos margen para la ambigüedad cuando la relación se deteriora.
Una señal de alerta clásica es que el proveedor responda bien a las preguntas comerciales y mal a las relacionadas con la salida de datos. Otra es que exista un acuerdo de protección de datos (DPA) estándar, pero que no aclare realmente las responsabilidades, las transferencias y los plazos. Si hoy en día trabajas con datos, automatizaciones o sistemas de toma de decisiones, también merece la pena leer sobre la Ley Europea de IA para las pymes, ya que está impulsando a muchas empresas a formalizar de manera más rigurosa la gobernanza, la trazabilidad y el papel de los proveedores.
Un último criterio práctico. Si al proveedor le resultan molestas tus preguntas sobre datos, responsabilidad y portabilidad, eso ya dice mucho del tipo de relación que tendrás con él tras la firma.
Una insignia de conformidad ayuda. Pero no es suficiente. Una certificación indica que existe un sistema de control. Por sí sola, no te dice si ese proveedor es adecuado para tu contexto, tus datos y tu exposición operativa.
Los marcos de gestión de proveedores recomiendan recopilar cuestionarios de riesgo, informes financieros y certificaciones como la ISO 27001 y la SOC 2, así como clasificar a los proveedores según su nivel de criticidad. En el caso de los proveedores de alto riesgo, se añaden auditorías in situ y revisiones de la superficie de ataque externa, tal y como resume Mitratech en su guía sobre la diligencia debida de proveedores.
Este punto cambia la forma de evaluar a un proveedor. La pregunta no es «¿tiene una certificación?». La pregunta es «¿qué pruebas operativas me muestra, además de la certificación?».
Por ejemplo, tiene sentido preguntarse:
ÁreaQué preguntarPor qué es importanteAlojamientoRegión de residencia de los datos y subcontratistas de infraestructuraInfluye en la jurisdicción y el cumplimiento normativoCopias de seguridadPolíticas, frecuencia y comprobación de la recuperación: una copia de seguridad sin probar no es más que una esperanza. Accesos: controles sobre las cuentas con privilegios: reduce el riesgo interno y el abuso. Respuesta ante incidentes: proceso documentado de gestión de incidentes: te indica quién hace qué bajo presión. Vulnerabilidades: pruebas de la revisión de la superficie expuesta: sirve para comprender hasta qué punto el proveedor es visible y vulnerable a los ataques.
La jurisdicción de los datos es más importante de lo que muchos creen. Si el proveedor aloja o transfiere datos fuera del ámbito que dabas por sentado, cambian las obligaciones, las evaluaciones y, a menudo, también la forma en que gestionas los incidentes y las solicitudes formales.
Luego está la parte menos glamurosa y más práctica: las copias de seguridad y la recuperación ante desastres. No te limites a preguntar si existen. Pregunta cómo se comprueban, cómo se documentan y quién interviene en caso de corrupción de los datos o de indisponibilidad del servicio.
Al mismo tiempo, fíjate en la reputación de la entidad con la que estás tratando. En algunos sectores muy convulsos, comprobar las señales públicas de alerta o vigilancia es una medida de seguridad mínima. Un ejemplo útil es la lista negra de estafas con criptomonedas, que ilustra bien por qué la evaluación de la reputación y la verificación externa no son un capricho, sino una protección básica cuando el proveedor opera en ámbitos sensibles u opacos.
Si un proveedor solo te muestra documentos PDF muy bien presentados y no te ofrece ninguna prueba de cómo gestiona los incidentes, las copias de seguridad, los accesos y las vulnerabilidades, lo que estás evaluando es el marketing, no la seguridad.
La verdadera calidad de un proveedor se aprecia cuando hay urgencia y poco margen. No en la demo. No en la propuesta comercial. No en la página «empresarial».
Hay que probar el servicio de atención al cliente antes de hacerse cliente. Es un paso que casi nadie da.
Puedes hacerlo de una forma muy sencilla:
Un proveedor de confianza no se ofende si haces estas preguntas. Las considera normales.
Un servicio de asistencia excelente no es aquel que responde rápidamente cuando todo funciona bien. Es aquel que se hace cargo de un problema complicado, sabe cómo escalarlo y te deja constancia por escrito de las decisiones tomadas.
Aquí es donde se esconde el aspecto más ignorado de la diligencia debida de los proveedores: el «lock-in».
Una diligencia debida técnica eficaz debe incluir el análisis del código y las dependencias para elaborar un inventario completo del software de terceros, las relaciones entre dependencias y las licencias de código abierto, además de la verificación de la arquitectura, las API y las bases de datos para evaluar el riesgo de deuda técnica y de dependencia, tal y como explica FOSSA en su guía sobre la diligencia debida técnica.
Traducido al lenguaje empresarial, debes entender tres cosas:
Si el proveedor facilita la entrada pero dificulta la salida, no se trata de una colaboración. Se trata de una atadura.
En lo que respecta a la continuidad, también conviene aclarar cómo aborda el proveedor la recuperación y la pérdida de datos. Si quieres una base operativa para evaluar estos escenarios, encontrarás un buen punto de referencia en ELECTE sobre la gestión de RTO y RPO.
Hay un criterio sencillo que resulta de gran ayuda: antes de firmar, solicita un procedimiento de baja por escrito. Si no existe, el coste de la baja será, casi con toda seguridad, más elevado de lo que imaginas.
El problema de las listas de comprobación es que reflejan la situación del proveedor en un día concreto. El riesgo, en cambio, cambia constantemente.
Una laguna frecuente en la diligencia debida de los proveedores es precisamente esta: casi todos explican qué hay que preguntar al proveedor, pero pocos explican cómo recalcular su riesgo a lo largo del tiempo. Sin embargo, el contexto así lo exige. El informe Clusit 2025 señala que en 2024 se produjeron 357 ciberataques contra objetivos italianos, lo que supone un aumento respecto a los 310 de 2023, y que el 79 % de ellos fueron de gravedad alta o crítica. Además, las violaciones relacionadas con terceros cuestan, de media, más de 370 000 dólares adicionales en comparación con las internas, tal y como señala SecurityScorecard en su lista de verificación para proveedores de servicios.
Esto cambia la lógica de control. No basta con aprobar al proveedor en la fase inicial. Hay que decidir qué proveedores requieren más atención y qué señales deben dar lugar a una reevaluación.
Un enfoque basado en el riesgo parte de una clasificación interna. No todos los proveedores son iguales. Como mínimo, hay que tener en cuenta:
A partir de ahí, puedes establecer un sistema de supervisión eficaz, incluso con herramientas de análisis de datos: paneles de control sobre los SLA, seguimiento de los tickets críticos, alertas sobre cambios en la documentación, variaciones en los subcontratistas, anomalías en el rendimiento o en los incidentes de seguridad.
Un proveedor no se convierte en un riesgo solo cuando sufre un incidente. Se convierte en un riesgo cuando se acumulan las señales de alerta y nadie las interpreta en su conjunto.
Para una pyme, este es el momento en el que los datos se convierten en gobernanza práctica. No para mejorar la burocracia, sino para reaccionar antes.
La lista de verificación sirve para una sola cosa: averiguar si estás eligiendo un proveedor que respalda tu negocio o uno que te deja como herencia una deuda operativa, conflictos legales y una salida costosa. Si el documento no te ayuda a decir que no, no es una lista de verificación útil.
De esta forma se evita el tipo de problema que solo surge tras la firma.
Aquí lo que cuenta es la experiencia. Las certificaciones ayudan, pero no explican cómo trabaja el proveedor bajo presión.
Muchos errores se originan aquí, no en el contrato.
El error más habitual es quedarse en la fase de selección. El verdadero riesgo surge después, cuando el servicio de asistencia empeora, cambian los subcontratistas, las exportaciones resultan inservibles o un cambio en la política te obliga a asumir actividades que creías que estaban incluidas. Es ahí donde aparecen los costes de segundo orden.
Si quieres resumirlo todo en una regla práctica, sigue esta: evalúa al proveedor como evaluarías a un socio operativo. Debe ser capaz de hacer frente a un incidente, a un litigio y a una separación ordenada. Si no sabes cómo salir de la relación, es que no lo has comprobado lo suficiente.
Si quieres convertir los datos sobre proveedores, SLA, incidencias y rendimiento en un sistema de seguimiento continuo, ELECTE, una plataforma de análisis de datos basada en inteligencia artificial para pymes, te ayuda a recopilar señales dispersas y convertirlas en información útil para tomar decisiones más rápidas y mejor fundamentadas. Es una forma concreta de pasar de una diligencia debida puntual a una vigilancia operativa más madura.
.svg)
.svg)
.svg)
