Evaluación técnica y health check

Lideré la due diligence técnica de un banco digital de uno de los grupos aseguradores más grandes de Argentina, dentro del M&A en el que el grupo compró parte de la fintech donde yo era VP de Engineering. Arquitectura, seguridad, infraestructura, contexto regulatorio y equipo, reportado directo a los que decidían. La operación cerró.

Un founder tenía que decidir si montaba un negocio nuevo sobre una plataforma de broker de seguros ya en producción: 600+ productores activos, 6 aseguradoras integradas. Evalué siete dimensiones y encontré 105 hallazgos, varios de seguridad críticos. El índice de carga cognitiva dio 450 sobre 1000 en la plataforma vieja contra 220 en la nueva, medido sobre 870 archivos y 195 mil líneas. Entregables: registro de hallazgos clasificado por severidad con evidencia, matriz de riesgo consolidada, roadmap de remediación por fases y una lectura ejecutiva que definió la decisión.

Auditoría completa de una plataforma de brokerage de salud (PHP/React): deuda técnica, riesgo arquitectónico, calidad de código, prácticas de delivery y performance del proveedor. Los hallazgos derivaron en una reestructuración del equipo y en el reemplazo de la consultora que no estaba rindiendo.

Evaluaciones de plataformas de riesgo crediticio y cobranzas para un grupo de préstamos: revisión de seguridad y compliance (OWASP Top 10, mapeo regulatorio bancario), deuda técnica con forensics del repositorio (bus factor, hotspots de cambio, churn × complejidad) y roadmap de remediación priorizado.

Depende de por qué te lo estás preguntando, porque el orden lo marca el riesgo que disparó la pregunta. Antes de una ronda arranco por Seguridad y Arquitectura; si se fue el CTO fundador o compraste la empresa, por Calidad de código e Infraestructura; antes de una reescritura, por Arquitectura y Deuda técnica; cuando una agencia te entregó el producto, por Infraestructura y Seguridad. Si no te ves en ninguno de esos casos, la evaluación focalizada en un área es la forma más barata de arrancar.

Acceso de solo lectura a repositorios de código fuente, consola de cloud (AWS/GCP/Azure), y cualquier documentación existente. Trabajo con el nivel de acceso que te deje tranquilo (cuanto más acceso, más profundo llego).

Algo los voy a interrumpir, pero acotado. Contá con 4-6 horas de tus líderes técnicos para una evaluación focalizada, y alrededor de un día entero (repartido en cuatro semanas) para el health check completo. Una call de kickoff, un par de charlas con quienes conocen el sistema y preguntas por Slack mientras avanzo. El resto lo hago yo, en el código y la infraestructura.

Te lo voy a decir. Mejor saber ahora que durante el due diligence o después de un incidente en producción. El reporte incluye no solo problemas sino caminos prácticos para solucionarlos.

Sí. Un engagement de CTO Fraccional (retainer mensual) es el siguiente paso natural cuando la remediación necesita liderazgo continuo. Lo definimos juntos después de que veas el reporte.

Las herramientas encuentran síntomas. Yo encuentro causas. Los scanners automatizados te avisan de vulnerabilidades conocidas y code smells. Yo puedo decirte por qué tu arquitectura se va a romper a 10x de escala y qué hacer al respecto. Además, cada hallazgo dice cómo se verificó: leído en el código, reproducido en una copia local o confirmado por tu equipo.

Sí. Firmo NDA antes de tocar nada. Tu repositorio vive en un volumen cifrado en mi máquina, y las herramientas de IA que uso leen sólo una copia con los datos personales y los secretos tachados. El informe se publica detrás de un login limitado a las personas que nombres, y borro todas las copias al cerrar el trabajo.