Necesitas preparar el cumplimiento normativo para un proceso de due diligence tecnológica

¿Tienes razón?

Que le pidan evidencia de cumplimiento en una due diligence tecnológica es habitual y legítimo. Lo que determina si está en una posición fuerte son, básicamente, cuatro cosas: 1) qué datos personales procesa la empresa y si hay bases legales claras; 2) si existen contratos escritos con proveedores y clientes que asignen responsabilidades; 3) pruebas de medidas de seguridad técnica y organizativa; y 4) si la empresa puede demostrar propiedad o licencia sobre el software y el código. Si usted tiene un inventario de datos, contratos firmados y evidencias (logs, informes de auditoría, políticas), su posición mejora. Si carece de todo eso y depende de conocimiento tácito del equipo, la valoración puede bajar.

En Colombia hay que mirar además la normativa sobre protección de datos y las obligaciones contractuales frente a clientes y proveedores. Lo que el comprador pedirá con más frecuencia es: inventario de activos tecnológicos, mapa de flujos de datos personales, acuerdos de tratamiento con terceros, licencias de software y resultados de pruebas de seguridad.

Cómo se soluciona

1. Reúna la documentación básica. Busque y agrupe: contratos de trabajo que regulen propiedad intelectual, contratos con proveedores de hosting y cloud, acuerdos con clientes, licencias de software, documentación de arquitectura (diagramas), inventarios de activos (servidores, repositorios, claves) y comprobantes de pago de licencias. Exporte correos y chats relevantes y guárdelos con marca de tiempo.

1. Haga un inventario de datos personales. Anote qué categorías procesa (empleados, clientes, proveedores), dónde se almacenan, quién accede y por qué base legal. No dé por sentada la “anonimización”: describa la técnica utilizada si afirma que los datos no son personales.

1. Revise acuerdos con terceros. Identifique si existen cláusulas que impidan transferencias o que impongan requisitos regulatorios (por ejemplo, cláusulas de confidencialidad, medición de niveles de servicio, subcontratación). Prepare una lista de contratos que necesitan actualización.

1. Prepare evidencia de seguridad. Reúna informes de pruebas de penetración, backups, políticas de gestión de incidentes, registros de incidentes previos y planes de respuesta. Si no hay pruebas formales, documente las prácticas: quién administra los backups, frecuencia y ubicación.

1. Valide la propiedad intelectual. Compile registros de desarrollos, contratos que asignen derechos de autor, evidencias de trabajo de terceros y registro de marcas o patentes si los hay.

1. Prepare un dossier para el comprador. Un paquete ordenado con índices, resúmenes ejecutivos y versiones redactadas para compartir puede acelerar la diligencia. Incluya un NDA y controles de acceso a información sensible.

1. Señale riesgos y plan de mitigación. Sea proactivo: liste problemas conocidos (dependencia de un proveedor, falta de pruebas de seguridad) y lo que hará para corregirlos. A los compradores les interesa la gobernanza y la intención de remediar.

Qué puede hacer usted solo: reunir documentos, exportar comunicaciones, hacer inventarios y describir procesos. Cuándo necesita ayuda profesional: revisar contratos complejos, redactar cláusulas que limiten responsabilidades, hacer una auditoría técnica formal o preparar respuestas legales a hallazgos.

Qué puede pasar

1) Se arregla con intercambio de información y correcciones menores. El comprador recibe el dossier, pide aclaraciones puntuales y ambas partes firman garantías limitadas. Esto ocurre con frecuencia cuando los problemas son administrativos o claramente remediables.

2) Negociación y acuerdo: el comprador solicita mitigaciones contractuales (representaciones, indemnizaciones, escrow de código) o descuentos en el precio por riesgos identificados. Un acuerdo puede implicar compromisos de inversión en seguridad o la inclusión de cláusulas de indemnización.

3) Termina en ruptura o en condiciones drásticamente peores. Si los riesgos son sistémicos (uso indebido de datos, infracción de propiedad intelectual, vulnerabilidades críticas sin respuesta), el comprador puede retirarse o imponer condiciones que afecten la valoración. Si hay disputa posterior, puede abrirse una reclamación contractual y, eventualmente, un proceso ante la jurisdicción civil o petición de medidas cautelares.

Si gana en un eventual litigio, cobrar puede depender de la solvencia del comprador o de garantías pactadas; una sentencia no convierte automáticamente el activo en efectivo.

Errores que arruinan el caso

• No tener inventario de datos: cuando el comprador pregunta, el silencio se interpreta como riesgo.
• Borrar comunicaciones o registros: destruir evidencia crea desconfianza y puede dar lugar a sanciones regulatorias.
• Depender solo de la memoria del equipo: si las prácticas no están por escrito, no podrá demostrarlas.
• No revisar contratos que permiten a proveedores bloquear transferencias de datos o acceso al código.
• No documentar remediaciones: si promete corregir y no hay evidencia, pierde credibilidad.