Auditoría de contratos SaaS y negociación estratégica

Cuando la organización necesita responder qué contratos de proveedores están por renovarse, quién los gestiona o cuánto ahorro se ha acumulado, la información suele estar repartida entre planillas, correos y mensajes. Esa dispersión genera dos consecuencias recurrentes: oportunidades de ahorro que se pierden y renovaciones automáticas que ocurren sin que nadie las gestione a tiempo.

El desafío no se limita a construir una lista de contratos. También incluye priorizar con rapidez qué vence pronto, qué es crítico por costo, qué está trabado por responsable y qué documentación falta para cerrar correctamente. Sin visibilidad y trazabilidad, el trabajo se vuelve reactivo y, sobre todo, caro.

Enfoque de auditoría: revisar contratos para proyectar uso, costos y riesgos

La revisión contractual no se realiza únicamente para determinar si las condiciones son favorables o desfavorables. También se utiliza para asegurar una estructura suficientemente rígida que permita proyectar el uso del proveedor a largo plazo. En ese marco, se consideran tres elementos principales:

• Costos escalables y protegidos en el tiempo, para evitar incrementos no controlados y permitir proyección.
• Flexibilidad operativa, dado que el negocio cambia y los proveedores deben poder adaptarse a esos cambios.
• Riesgos legales y financieros, que deben identificarse y gestionarse como parte del análisis.

La dinámica de auditoría se basa en revisar el contrato completo, identificar cláusulas críticas, asignarles un nivel de riesgo y consolidar los hallazgos en una matriz que permita decidir si corresponde eliminar, modificar o reforzar una cláusula.

Categorías de cláusulas clave en contratos SaaS

Las cláusulas se agrupan en categorías para facilitar su evaluación y priorización:

Cláusulas comerciales

Incluyen condiciones de pricing y control de aumentos, como caps de renovación, escalas de precios y reglas ante umbrales de consumo. Estas cláusulas determinan la capacidad de controlar el presupuesto y proyectar costos.

Cláusulas contractuales

Cubren términos generales como duración, renovación, terminación y la relación entre el Master Agreement (MCA) y anexos o personalizaciones como el CPS.

Cláusulas operativas

Se enfocan en SLA, disponibilidad del servicio, estructura del proyecto, plazos y condiciones de operación.

Cláusulas legales

Incluyen limitaciones de responsabilidad e indemnización, orientadas a definir cómo se responde ante escenarios no previstos o interrupciones.

Cláusulas de datos y continuidad

Abordan propiedad de datos, uso de información por parte del proveedor, subcontrataciones, acceso a la data y condiciones de devolución o eliminación al término de la relación.

Método de evaluación y uso de tecnología con resguardo de confidencialidad

Los contratos contienen información confidencial y delicada, por lo que su evaluación debe considerar restricciones de compartición. Se mencionan herramientas que permiten revisar contratos de forma más eficiente, sin depender de que un área legal lea el documento completo.

Una práctica utilizada para acelerar la evaluación consiste en solicitar al proveedor un extracto del contrato que sea transferible o publicable, basado en términos públicos del proveedor y con la adición de cláusulas nuevas que se incorporarían al acuerdo. Esto permite analizar contenido relevante sin exponer información sensible como la identificación de las partes.

En el uso de inteligencia artificial para análisis documental, se enfatiza la necesidad de utilizar herramientas contratadas por la empresa por motivos de confidencialidad. Se menciona Gemini como apoyo para análisis, especialmente cuando existe un entorno corporativo con histórico de información y documentos, lo que permite comparar cláusulas con contratos anteriores y detectar cambios.

Hallazgos típicos en auditoría: ejemplos de cláusulas de riesgo y mejoras propuestas

La auditoría identifica cláusulas con distintos niveles de riesgo (alto, moderado, bajo) y define puntos de mejora. Entre los riesgos revisados se incluyen:

Modificación unilateral de condiciones (riesgo alto)

Se identifica como riesgo alto que el proveedor pueda actualizar periódicamente un documento contractual (como el CPS) con notificación previa, manteniendo la facultad de modificar condiciones. La mejora propuesta consiste en eliminar o reemplazar la cláusula por un mecanismo que exija acuerdo escrito de ambas partes.

Disponibilidad del servicio sin garantía y sin compensación (riesgo)

Se observa la presencia de cláusulas donde el proveedor realiza “esfuerzos razonables” pero no garantiza disponibilidad al 100%, y define múltiples eventos que no constituyen incumplimiento. La propuesta se orienta a incorporar compensaciones ante caídas, mediante service credits u otras formas de resarcimiento como horas de soporte, créditos adicionales o capacitaciones.

Cambios periódicos en características del servicio (riesgo alto)

Se marca como riesgo alto que el proveedor pueda modificar funciones y características del servicio de forma periódica. Se propone exigir acuerdo escrito y mantener la notificación previa, pero condicionando la implementación a un mutuo acuerdo.

Subcontratistas y cambios de terceros (riesgo)

Cuando el proveedor puede emplear subcontratistas o partners, se plantea el riesgo de afectación del servicio. La mejora propuesta es incorporar consentimiento previo y notificación, de modo que los cambios no impacten la operación.

Uso amplio de datos del cliente (riesgo medio)

Se identifica como riesgo que el proveedor pueda utilizar o divulgar aportes del cliente con cualquier propósito. La propuesta es limitar el uso, exigir que la data sea anonimizada, restringir la compartición con terceros y establecer que sea sin fines comerciales directos.

Limitación de responsabilidad ante daños e interrupciones (riesgo alto)

Se considera de riesgo alto que el proveedor no asuma responsabilidad por pérdidas, interrupciones o daños directos e indirectos. Se propone incorporar mecanismos de compensación y definir qué ocurre si el escenario se materializa.

Terminación por incumplimiento con plazos cortos (riesgo medio)

Se observa como riesgo que el contrato pueda terminarse si un incumplimiento no se subsana en 10 días hábiles. Se propone ampliar a un período más sano, como 30 días, para reducir exposición ante atrasos o contingencias.

Terminación sin causa con preaviso (riesgo medio)

Se revisa la posibilidad de terminación con 30 días de preaviso y se destaca la importancia de alinear condiciones entre anexos (CPS) y el acuerdo principal (MCA), incorporando al master agreement condiciones relevantes para mayor resguardo.

Datos, seguridad y anexos de tratamiento: DPA, evidencia y auditoría periódica

En materia de protección de datos, se menciona el uso de un anexo específico denominado DPA (anexo de tratamiento de datos). Se indica que pueden exigirse condiciones contractuales y evidencia previa a la contratación, incluyendo assessments de tecnología y seguridad, y certificaciones como ISO 27001.

Se plantea que no basta con confiar en términos y condiciones alojados en una URL, ya que pueden cambiar sin aviso. Por ello, se considera relevante que el contrato obligue a seguir instrucciones y estándares internos (ciberseguridad o IT), defina mecanismos de reporte de incidentes, establezca devolución o borrado de datos al término de la relación, contemple un derecho de auditoría periódica y asegure un plan de salida claro.

Implicancias para procurement: negociación con visibilidad, trazabilidad y priorización

La falta de visibilidad en negociaciones genera baja priorización y trazabilidad débil. Sin un lugar consolidado, se dificulta filtrar por fecha límite, urgencia, criticidad y costo, y se vuelve complejo responder quién lleva una negociación, en qué etapa está y dónde se encuentra el cuello de botella. La consecuencia operativa se traduce en menos control de costos y oportunidades de ahorro perdidas.

También se plantea que la revisión legal, por sí sola, no necesariamente vela por el negocio a largo plazo. La negociación requiere análisis crítico para incorporar cláusulas y condiciones que protejan la operación, la proyección y el presupuesto.

Centralización de negociaciones: calendario, estados, responsables, documentos y KPIs

Se describe un módulo de negociaciones orientado a centralizar, visualizar y gestionar negociaciones con proveedores desde un solo lugar, con una vista clara del calendario anual, estado, responsable, fecha límite, documentos y KPIs para alinear compras y finanzas.

El módulo incluye:

• Tarjetas clave para decidir rápido: vencimientos próximos, apps sin contrato, impacto en costos y ahorro logrado.
• Filtros por etapa, responsable y urgencia para priorizar.
• Vista de tabla para seguimiento de cada negociación.
• Vista de calendario para anticipar renovaciones y meses críticos.
• Roles y permisos para que cada persona vea y ejecute lo que corresponde.

Entre los resultados reportados con primeros clientes se mencionan:

• 25% menos tiempo en el ciclo de negociación, promediando 75 días.
• 30% de autorrenovaciones no deseadas que ya no ocurren.
• 89% de negociación anticipada con data real para negociar con fundamentos.

Se mencionan además métricas agregadas: más de 1000 negociaciones lideradas, más de 400 horas ahorradas en promedio para procurement y 21% de ahorro en negociaciones. También se indica un volumen negociado de más de 160 millones de $ y participación en más de 700 software.

Resultados operativos: evitar fugas de gasto y hacer visible el ahorro

La centralización permite anticipar vencimientos, evitar fugas de gasto y hacer visible el ahorro conseguido. La trazabilidad documental y el seguimiento por etapas reducen sorpresas, evitan renovaciones automáticas no revisadas y facilitan auditoría y gobernanza, con documentación completa y un tablero comprensible para el seguimiento de costos optimizados y distribución de la cartera de negociaciones.