Auditoría técnica de software: qué incluye y qué entregables esperar

Qué es exactamente una auditoría técnica de software

Una auditoría técnica de software es el análisis sistemático del estado de un sistema de software para responder a tres preguntas concretas: ¿en qué estado real está?, ¿qué riesgos tiene?, ¿qué pasos priorizados hay que dar para mejorarlo?

El error común es confundirla con un diagnóstico comercial: una agencia mira tu sistema durante una hora y te dice "está mal, te lo rehacemos por 80.000€". Eso no es auditoría, es presupuesto disfrazado.

Los 4 entregables que toda auditoría debe incluir

1. Architecture Decision Record (ADR) completo

El ADR documenta cada decisión arquitectónica importante del sistema actual: qué se decidió, por qué, qué alternativas se consideraron y qué trade-offs se aceptaron. Incluye:

• Diagrama C4 a nivel de contenedor y de componente
• Listado de servicios, sus responsabilidades y sus dependencias
• Diagrama de flujo de datos entre componentes principales
• Decisiones tecnológicas clave con justificación

Sin ADR no hay auditoría: estás navegando con un mapa que no existe.

2. Mapa de deuda técnica valorada en días de ingeniería

La deuda técnica son atajos del pasado que cuestan tiempo en el presente. Una auditoría seria la cuantifica:

• Por módulo: qué archivos/clases tienen más complejidad ciclomática, más cobertura de tests insuficiente, más TODOs sin resolver
• Por categoría: deuda de testing, deuda de documentación, deuda de seguridad, deuda de performance
• Valorada en días: cada item de deuda con estimación de esfuerzo para resolverlo

El total te da la "hipoteca técnica" del sistema. Si es menor del 15% del esfuerzo de mantener el código vivo, está bien. Si es mayor del 30%, el sistema te está costando más de lo que produce.

3. Score de riesgo por módulo

Cada módulo del sistema se valora con dos ejes:

• Probabilidad de fallo (1-5): basado en cobertura de tests, complejidad, churn histórico, frecuencia de bugs reportados
• Impacto si falla (1-5): basado en negocio que para, datos que se pierden, usuarios afectados

Multiplicando ambos obtienes el score de riesgo. Los módulos con score >15 son los que hay que tocar primero, sin discusión.

4. Plan de acción priorizado por ROI

Una auditoría sin plan de acción es un libro de quejas. El plan debe ordenar las acciones por ratio coste/beneficio:

1. Quick wins: 1-3 días, impacto inmediato (típicamente: añadir tests donde no hay, actualizar dependencias críticas, corregir vulnerabilidades CVE)
2. Refactor focalizado: 1-3 semanas, módulos críticos con score de riesgo alto
3. Modernización por fases: 1-6 meses, partes del sistema que merecen reescritura completa
4. Mantenimiento como está: partes del sistema con riesgo bajo y deuda asumible — no tocar

¿Cuánto cuesta una auditoría técnica decente?

Para sistemas pequeños/medianos, una auditoría seria parte de los 5.000€ y se entrega en 1-3 semanas. Para sistemas legacy grandes (varios cientos de miles de líneas, múltiples años de evolución), puede llegar a 12.000-25.000€ con plazo de 4-8 semanas.

Lo que NO debe pasar nunca: que la auditoría sea "gratis" condicionada a contratar después la implementación. Esa no es una auditoría: es un comercial. Una auditoría seria tiene valor por sí misma — el cliente puede decidir no continuar y queda con un mapa real del sistema.

Señales de que la auditoría que te ofrecen NO es seria

• Te la cotizan en menos de 1 hora de conversación
• El plazo prometido es <1 semana para sistemas grandes
• No incluye acceso al código (solo te entrevistan)
• El entregable es un PowerPoint con bullets, no un documento técnico estructurado
• No menciona ADR, score de riesgo, ni cuantificación de deuda
• El precio es 0€ "si nos contratáis después"

Próximos pasos

Si estás considerando una auditoría técnica de tu sistema, asegúrate de que el proveedor te explica con detalle qué entregables vas a recibir. En CyberVaultLabs entregamos los 4 documentos descritos en este artículo, con plazo cerrado y sin compromiso posterior. Puedes ver más detalle en nuestra página de modernización de software legacy o iniciar conversación directamente desde el formulario de contacto.