Imagine un despacho de abogados de tamaño mediano en la víspera de un plazo procesal relevante. El sistema de gestión de expedientes deja de responder, los abogados no pueden acceder a los escritos en curso y la única persona que sabe restaurar la base de datos, y que sabe dónde están las credenciales del servidor, está de baja por motivos de salud, sin posibilidad de atender el teléfono. El equipo busca una contraseña anotada, un manual, un contacto del proveedor, y no encuentra nada, porque todo eso siempre estuvo guardado en la memoria de un profesional dedicado y competente.
El escenario describe un riesgo que pocas empresas registran en sus mapas de riesgo, aunque está presente en casi toda organización que confió su TI (tecnología de la información) a un analista o a un equipo pequeño. Con los años, ese profesional acumula decisiones, atajos y excepciones que nunca llegaron al papel, y la empresa pasa a depender de una persona de la misma forma en que podría depender de un único cliente o de un único proveedor.
La pregunta que vale la pena llevarse de esta lectura es simple e incómoda: si la persona que conoce su TI por completo se fuera mañana, ¿cuánto tiempo tardaría la operación en reorganizarse, y cuánto costaría eso en plazos, ingresos y reputación?
Cuando el conocimiento crítico tiene una única dirección
La concentración de conocimiento rara vez nace de una mala gestión. Surge del mérito, porque el profesional que resuelve rápido recibe más solicitudes, aprende más sobre el entorno y se convierte en la referencia natural para todo, mientras la empresa, satisfecha con los resultados, deja de preguntar cómo funcionan las cosas por debajo. El riesgo crece justamente cuando la operación va bien, y por eso casi nunca aparece en una reunión de directorio antes de convertirse en un incidente.
Los detonantes son previsibles y ninguno de ellos requiere una crisis: una renuncia, un ascenso a otra área, una licencia médica o la sobrecarga que lleva al profesional a postergar todo lo que no es urgente. La encuesta State of Cybersecurity 2024 de ISACA, asociación global de profesionales de auditoría, gobernanza y seguridad de la información, señala que los niveles de estrés de los profesionales de ciberseguridad van en aumento, en gran parte debido a un panorama de amenazas cada vez más desafiante, e identifica brechas importantes de competencias en el área. Un profesional estresado e insustituible representa, al mismo tiempo, un riesgo de salida y un riesgo de error.
El mercado laboral agrava el panorama. De acuerdo con el IT Industry Outlook 2025 de CompTIA, asociación de la industria tecnológica, el desequilibrio entre la oferta de competencias digitales y la demanda de especialistas está obligando a las empresas a cambiar la forma en que atraen y retienen talento, y la demanda de habilidades técnicas sigue siendo alta en todos los sectores. El mismo estudio indica que más de tres de cada cuatro profesionales en funciones técnicas se sienten optimistas sobre su potencial de carrera, lo que sugiere que el analista que sostiene su TI probablemente tiene buenas opciones fuera de su empresa.
En el sector jurídico, las consecuencias adquieren contornos concretos. Un despacho que no logra restaurar el repositorio de documentos de los clientes dentro de un plazo procesal enfrenta la pérdida del plazo, exposición a responsabilidad profesional y desgaste con clientes que confiaron información confidencial a la firma. Cuando un cliente corporativo solicita, en una auditoría de proveedores, la comprobación de cómo se protegen esos documentos, el despacho necesita presentar políticas, registros y pruebas documentadas, algo que la memoria de un profesional, por más confiable que sea, no reemplaza.
El efecto también alcanza el valor de la empresa. En una due diligence, la investigación detallada que precede a una fusión, una adquisición o la entrada de un socio, la falta de documentación de TI se interpreta como un pasivo oculto, porque el comprador necesita saber si los sistemas seguirán funcionando después de la transacción. Regulaciones de protección de datos como el GDPR (General Data Protection Regulation, reglamento general de protección de datos de la Unión Europea) y la LGPD (Lei Geral de Proteção de Dados, ley general de protección de datos de Brasil) refuerzan esa exigencia al requerir que la organización demuestre con evidencias cómo trata la información personal.
Cómo transformar la dependencia en capacidad distribuida
El primer paso es tratar el tema como un riesgo de negocio, con responsable, plazo e indicador. El NIST (National Institute of Standards and Technology, instituto de referencia en normas de tecnología) publicó en mayo de 2010 la guía SP 800-34 Rev. 1 sobre planificación de contingencias, que ayuda a las organizaciones a evaluar sistemas y operaciones para definir requisitos y prioridades de continuidad. La guía incluye un modelo de BIA (Business Impact Analysis, análisis de impacto en el negocio), herramienta útil para listar los sistemas críticos, el impacto de cada interrupción y, por extensión, quién sabe operarlos.
El segundo paso es medir la dependencia con preguntas objetivas. Para cada sistema crítico, el liderazgo debe saber quién tiene las credenciales administrativas, dónde está la documentación, cuándo fue la última prueba de restauración y a qué proveedor recurrir en caso de falla. Cuando la respuesta a esas preguntas es siempre el mismo nombre, la empresa encontró su punto único de falla humano.
El tercer paso es distribuir el conocimiento sin quitarle autoridad a quien lo construyó. Un modelo de equipo extendido, como el de servicios de TI gestionados, combina NOC (Network Operations Center, centro de operaciones de red), SOC (Security Operations Center, centro de operaciones de seguridad), runbooks, que son guías operativas paso a paso, y monitoreo compartido del entorno. El profesional interno sigue decidiendo y liderando, mientras el respaldo especializado registra procedimientos, da seguimiento a las alertas y absorbe parte de la carga repetitiva.
Al evaluar a un socio, exija evidencias: documentación entregada en un formato que la empresa controla, informes periódicos de pruebas de respaldo y recuperación ante desastres, bóveda de credenciales con acceso definido por función y un plan de transición que preserve el rol de la TI interna.
5 preguntas que todo directivo debería hacerse
¿Qué sistemas quedarían sin responsable si una o dos personas dejaran la empresa mañana?
Responder exige un inventario honesto, sistema por sistema, que cruce cada activo crítico con las personas capaces de operarlo, restaurarlo y negociar con el proveedor. En un despacho de abogados, la lista suele incluir el sistema de gestión de expedientes, el repositorio de documentos de los clientes, el correo electrónico, el control de plazos y el acceso remoto de los abogados.
El ejercicio revela, con frecuencia, que sistemas considerados simples dependen de una configuración que solo una persona entiende. Todo sistema con un único nombre en la columna de responsables merece prioridad de documentación, porque es ahí donde una ausencia inesperada se convierte en una interrupción.
¿Cuánto cuesta, en plazos y en ingresos, una ausencia inesperada de quien conoce la TI por completo?
El costo rara vez aparece como una sola línea del presupuesto. Se reparte en horas facturables perdidas, en consultorías de emergencia contratadas a toda prisa, en plazos que exigen solicitudes de prórroga y en clientes que empiezan a cuestionar la capacidad de la empresa para proteger lo que le confiaron.
Para quien necesita un costo predecible, la dependencia de una persona funciona como un gasto variable oculto, que no aparece mientras todo funciona y se materializa de golpe, en el peor momento. Convertir ese riesgo en un costo recurrente y conocido, mediante documentación, monitoreo y respaldo contratado, cambia la sorpresa por la previsibilidad.
¿Cuánto del valor que construí depende de conocimiento guardado en la memoria de una sola persona?
Una empresa vale, en parte, por su capacidad de seguir funcionando sin depender de individuos específicos. Inversionistas, compradores y sucesores observan este punto con atención, porque un negocio que solo opera con determinadas personas presentes vale menos y es más difícil de transferir.
Para quien fundó o dirige el negocio, documentar la TI es una forma de proteger el patrimonio construido a lo largo de los años. Un despacho que demuestra cómo protege los documentos confidenciales de sus clientes, con políticas escritas y pruebas registradas, llega más fuerte a una due diligence y a la renovación del contrato con un cliente corporativo exigente.
¿Cómo obtengo respaldo para documentar el entorno sin sacar a mi equipo de la operación diaria?
Documentar y estandarizar rara vez ocurre por iniciativa propia del equipo interno, y el motivo casi siempre es la falta de tiempo, ya que la operación diaria consume cada hora disponible. Cuando cada día trae tickets, actualizaciones e incidentes, el registro de procedimientos queda para después, y ese después suele no llegar nunca.
Un respaldo especializado resuelve el impasse al asumir el monitoreo continuo, la clasificación de alertas y la elaboración de runbooks en conjunto con el profesional interno, que valida cada procedimiento. El líder de TI gana tiempo para proyectos estratégicos, reparte el peso de las tareas repetitivas y mantiene la autoridad sobre las decisiones del entorno que conoce mejor que nadie.
¿Qué indicadores muestran que el riesgo de persona clave en TI está, de hecho, disminuyendo?
Tres indicadores bastan para empezar: la cobertura de documentación de los sistemas críticos, la frecuencia y el resultado de las pruebas de restauración y el tiempo necesario para integrar a un nuevo profesional al entorno. Cada uno de ellos puede darse seguimiento en una reunión de gestión, sin exigir conocimientos técnicos a quien lo revisa.
Una cuarta señal es cualitativa y reveladora, porque muestra cuántas personas, dentro y fuera de la empresa, pueden responder las preguntas críticas sobre cada sistema. Cuando ese conteo pasa de un nombre a varios, la empresa ha reducido de forma medible un riesgo que antes era invisible.
Preguntas frecuentes
¿Qué es el riesgo de persona clave en TI?
El riesgo de persona clave en TI es la dependencia de un único profesional, o de un equipo muy pequeño, para operar, restaurar y proteger sistemas críticos. Se manifiesta cuando esa persona se va, se enferma, es promovida o queda sobrecargada, y la empresa descubre que las credenciales, las rutinas y las decisiones nunca se documentaron.
¿Un equipo extendido de TI reemplaza al profesional interno?
Un equipo extendido de TI actúa como respaldo del profesional interno, que mantiene el liderazgo y la autoridad sobre el entorno. El modelo suma monitoreo continuo, documentación estructurada y especialistas en operación y seguridad, distribuyendo el conocimiento sin quitarle el protagonismo a quien conoce el negocio.
¿Cómo empezar a reducir la dependencia de un único profesional de TI?
El punto de partida es un inventario de los sistemas críticos que indique, para cada uno, quién tiene acceso, dónde está la documentación y cuándo se hizo la última prueba de restauración. A partir de ese mapa, la empresa prioriza la documentación de los sistemas con un único responsable y define indicadores para dar seguimiento a la evolución.
Descubra en pocos minutos qué puntos de su TI dependen de una sola persona con el Diagnóstico Estratégico de TI, sin compromiso.
Si su TI vive en la cabeza de una sola persona, converse con Zamak y convierta ese conocimiento en patrimonio de la empresa.