Desarrollo de aplicaciones a medida para empresas financieras

El software ya disponible cubre mucho terreno: administración de contactos, seguimiento de tareas, almacenamiento de documentos, firmas electrónicas, resultados de planificación y portales de clientes. Si un producto resuelve su flujo de trabajo y sus integraciones de forma confiable, adoptarlo cuesta menos al inicio que construir algo nuevo, y se lo diremos durante la fase de descubrimiento.

El desarrollo a medida tiene sentido cuando el proceso cruza varios sistemas o depende de reglas propias de la empresa que un producto estándar no puede manejar con limpieza. Algunos casos comunes:

• Recepción de clientes con preguntas que se ramifican según sus propias reglas.
• Solicitudes de documentos organizadas por tipo de cliente, tipo de cuenta o trabajo de planificación.
• Calculadoras internas para escenarios especializados de planificación, préstamos o comisiones.
• Citas que aplican distintos tipos de reunión, calendarios del personal, requisitos de preparación y reglas de elegibilidad.
• Portales de clientes que reúnen seguimiento del estado, mensajes seguros, documentos, formularios y avisos de tareas.
• Paneles que combinan datos del CRM, de planificación, de facturación y del flujo de trabajo.
• Flujos de aprobación para la revisión de cumplimiento o la firma de un socio.
• Transferencia de datos entre sistemas que no se conectan por sí solos.
• Clasificación y asignación de clientes nuevos, además de avisos de documentos faltantes y de fechas límite.

Una aplicación a medida cuesta más al inicio que una herramienta estándar, sobre todo cuando se cuentan la seguridad, las integraciones, las pruebas, la migración y la documentación. Suele ser razonable cuando el flujo de trabajo es importante, se repite con frecuencia, es difícil de operar con las herramientas actuales y es tan específico que un producto estándar no encaja. En el descubrimiento averiguamos si basta con configurar o conectar lo que ya usa, antes de empezar cualquier trabajo de producción.

Algunas solicitudes que suenan a desarrollo de aplicaciones son otro trabajo. Rediseñar un sitio web, la optimización para buscadores, la gestión de reseñas o el video resuelven problemas distintos, y un sitio personalizado que necesita inicio de sesión, documentos confidenciales o lógica interna del negocio ya es una aplicación. Lo aclaramos al comienzo para que usted pague por lo que realmente necesita. Nuestros servicios relacionados se describen en la página Para empresas financieras.

Un proyecto bien llevado parte de un problema operativo concreto, no de una petición general de "construir una aplicación". Trabajamos por fases, y cada fase tiene precio antes de empezar:

1. Descubrimiento: identificamos a los usuarios, el flujo de trabajo actual, los sistemas, las restricciones, los tipos de datos y el resultado útil más pequeño. El Manual de Servicios de GOV.UK describe este paso como entender a los usuarios, las restricciones y el problema antes de construir.
2. Definición: documentamos requisitos, funciones, permisos, integraciones, criterios de aceptación, requisitos de seguridad, propiedad y responsabilidades de mantenimiento.
3. Prototipo: probamos los supuestos más riesgosos con usuarios realistas y flujos de muestra antes del desarrollo de producción. La descripción de la fase alfa en el mismo manual presenta los prototipos como una forma de probar distintas soluciones antes de comprometerse con una.
4. Construcción: el trabajo llega en incrementos pequeños, con demostraciones, pruebas y decisiones registradas.
5. Piloto: un grupo limitado usa la aplicación, corregimos los problemas de flujo de trabajo y de uso, y confirmamos que su personal puede operarla.
6. Lanzamiento: migramos o conectamos los datos, capacitamos a los usuarios, establecemos el soporte y definimos los procedimientos para incidentes y cambios.
7. Mantenimiento: se actualizan las dependencias, se revisan los accesos, se vigilan las fallas, se actualiza la documentación y se planean las mejoras.

Las señales de un proyecto fallido son conocidas: propiedad poco clara, un alcance que crece sin decisiones, nadie en la empresa que sea responsable del producto, ninguna revisión de cumplimiento, pruebas de aceptación inservibles, ningún plan de migración, ninguna documentación y un sistema que solo un desarrollador sabe operar. Las fases anteriores están pensadas para evitar cada una de ellas.

Una aplicación que guarda información financiera de clientes tiene que encajar en las obligaciones legales y contractuales que su empresa ya tiene. Nosotros implementamos los controles; su empresa decide qué requisitos le aplican y aprueba el modelo de operación.

La Regulación S-P (Regulation S-P), reformada en junio de 2024 por la Comisión de Bolsa y Valores (Securities and Exchange Commission, SEC), se aplica a los corredores de bolsa (broker-dealers), las compañías de inversión, los asesores de inversión registrados ante la SEC, los portales de financiamiento colectivo y los agentes de transferencia registrados. Exige políticas escritas de respuesta a incidentes para el acceso o uso no autorizado de información de clientes, que abarquen evaluación, contención, control, recuperación y notificación a los clientes. También exige que las instituciones cubiertas supervisen a sus proveedores de servicios, y que un proveedor de servicios notifique a la institución lo antes posible y a más tardar 72 horas después de enterarse de una violación de seguridad que afecte un sistema de información de clientes bajo su mantenimiento. Incluimos esa vía de notificación en el contrato, porque en esa frase el proveedor de servicios somos nosotros.

Los controles que incorporamos a una aplicación siguen esa misma lista:

• Acceso por funciones, para que cada usuario vea solo los datos y las funciones que su función requiere.
• Autenticación sólida y controles de acceso administrativo.
• Cifrado en tránsito y en reposo cuando corresponda.
• Registros de auditoría de accesos, cambios, descargas y acciones administrativas.
• Reglas de conservación y eliminación.
• Procedimientos de respaldo y recuperación.
• Detección de incidentes y escalamiento.
• Un método documentado para entregar registros durante una inspección.

Para la forma en que escribimos y mantenemos el software, seguimos las prácticas de la guía de desarrollo seguro de software del NIST (Instituto Nacional de Estándares y Tecnología): requisitos de seguridad documentados, funciones y responsabilidades asignadas, código protegido y un proceso para responder a las vulnerabilidades.

Los datos de prueba tienen su propia regla. La información real de clientes se queda fuera de los prototipos y de los entornos de prueba, salvo que su empresa decida que puede usarse y estén vigentes los controles adecuados. Los datos de muestra representativos son lo habitual.

Muchas empresas piden aplicaciones que tocan la publicidad: un paso de aprobación de contenido, un formulario de testimonios, un administrador de perfiles o un registro de lo que se publicó y cuándo. Nosotros construimos el flujo; su empresa y sus profesionales de cumplimiento deciden qué puede publicarse.

Para los asesores de inversión, la guía de la SEC para entidades pequeñas sobre la Regla de Mercadeo trata la Regla 206(4)-1, que se aplica a los anuncios que difunden los asesores registrados, o que deben registrarse, ante la SEC. La regla prohíbe las declaraciones falsas, las omisiones que inducen a error, las afirmaciones sin una base razonable para sustentarlas y el trato desequilibrado de beneficios y riesgos. Los testimonios y las recomendaciones de terceros requieren aclarar de forma destacada si quien los da es cliente y si recibe pago. La regla también modificó los requisitos de libros y registros de la Regla 204-2, así que cada empresa decide cómo se capturan y se conservan los registros de su sitio web, sus videos, sus reseñas y sus perfiles.

Para los corredores de bolsa, la Autoridad Reguladora de la Industria Financiera (Financial Industry Regulatory Authority, FINRA) indica que la Regla 2210 se aplica a las comunicaciones en cualquier medio, incluidos los sitios web, el correo electrónico, las redes sociales y el video. El Aviso Regulatorio 12-29 de FINRA describe los registros que corresponden: una copia de la comunicación, las fechas del primer y del último uso, el principal que la aprobó y la fecha de aprobación cuando aplique, y la fuente de las estadísticas y los gráficos. La guía de FINRA sobre redes sociales añade que los registros de las comunicaciones del negocio se conservan por al menos tres años, y que la obligación depende del contenido, no del dispositivo ni de la plataforma.

La Regla sobre Reseñas y Testimonios de Consumidores de la FTC (Comisión Federal de Comercio) prohíbe las reseñas falsas, las reseñas compradas que tergiversan una experiencia real, los incentivos atados a una opinión determinada y la supresión de reseñas mediante amenazas o intimidación. Sus Guías sobre Recomendaciones piden una divulgación clara y visible de las conexiones materiales.

El software puede guardar la evidencia: la identidad de quien reseña, su consentimiento, las divulgaciones de compensación, el estado de aprobación, las fechas de publicación, las ediciones y el historial de retiros, además del historial de versiones, las marcas de tiempo y las exportaciones para un sistema de archivo. El software no puede hacer veraz un testimonio ni decidir si una empresa regulada puede publicarlo. Ese criterio le corresponde a su oficial de cumplimiento, al principal del corredor de bolsa, a su abogado o al regulador.

La división es sencilla: su empresa es dueña de las decisiones del negocio, del contenido regulado y de su aprobación, y nosotros nos encargamos de implementar los requisitos aprobados.

Su empresa maneja o aprueba:

• La revisión de cumplimiento del texto del sitio web, los videos, los testimonios, las recomendaciones, los perfiles y las comunicaciones con clientes.
• La revisión o presentación ante el principal del corredor de bolsa, cuando las reglas de FINRA y sus procedimientos de supervisión lo exijan.
• La revisión de cumplimiento del asesor conforme a la Regla de Mercadeo de la SEC o a las reglas estatales aplicables.
• Los avisos de privacidad y las divulgaciones a clientes.
• La debida diligencia y los contratos con proveedores.
• Las políticas de conservación de datos y de registros.
• Si la información de clientes puede usarse en pruebas.
• La aprobación final del lanzamiento, además de la capacitación y la supervisión de su personal.

Nosotros nos encargamos de:

• La documentación de requisitos y el mapa del flujo de trabajo.
• El diseño de la interfaz y de la experiencia de uso.
• La base de datos y la estructura de la aplicación.
• El inicio de sesión seguro y los permisos.
• Los formularios de recepción y los flujos de documentos.
• Las calculadoras con supuestos versionados, para que cada resultado muestre sus supuestos, su versión y su fecha.
• La lógica de citas, los paneles y las herramientas internas.
• Las integraciones con los sistemas que ya usa y la importación de datos.
• Los registros de auditoría, los estados de aprobación y las funciones de exportación.
• Las pruebas, la puesta en marcha y el monitoreo.
• La documentación técnica, las guías de administrador y los materiales de capacitación del personal.
• La planificación del mantenimiento y la corrección de defectos.

Los proyectos avanzan más rápido cuando su empresa aporta:

• Una descripción escrita del flujo de trabajo actual.
• Ejemplos de formularios, hojas de cálculo, correos, listas de verificación e informes.
• Una lista de usuarios y niveles de permiso.
• Una lista de los sistemas que deben seguir siendo la fuente de referencia.
• Categorías de datos, plazos de conservación y requisitos de eliminación.
• Credenciales de integración, entregadas por canales administrativos aprobados.
• Requisitos de cumplimiento, privacidad y seguridad de la información.
• La persona autorizada para tomar decisiones sobre el flujo de trabajo.
• Usuarios de prueba y datos de prueba representativos y debidamente protegidos.
• Criterios de aceptación para cada fase.
• Un responsable del proceso que se encargue de la adopción y del mantenimiento continuo.

La capacitación del personal, la migración y la adopción toman tiempo aun cuando el software esté técnicamente terminado, así que una persona que decida y dé respuestas a tiempo pesa tanto como el código.

El trabajo a medida se cotiza por proyecto: una cuota de configuración y una cifra fija acordada antes de empezar. El proyecto se construye por fases, cada fase tiene precio antes de comenzar y no hay medidor por hora. Una primera versión enfocada suele tomar semanas, y los sistemas más grandes reciben un calendario por escrito. No publicamos una cifra en dólares para este servicio, porque el monto depende de su flujo de trabajo, de sus sistemas y de sus requisitos de seguridad.

Nada en esta página es una cotización ni un contrato. El trabajo comienza con un acuerdo escrito y firmado que fija el alcance, el precio y el calendario, junto con el pago de una cuota de configuración o de construcción. Ese acuerdo también debe indicar el plazo, el soporte, el alojamiento, las solicitudes de cambio y las condiciones de terminación, además de los entregables, los supuestos, las exclusiones, los hitos, las condiciones de pago y lo que ocurre si el proyecto se detiene. Revise esos puntos antes de firmar.

La propiedad también queda por escrito en el acuerdo. Usted es dueño de su código, sus datos, sus diseños, su documentación, sus analíticas y sus cuentas una vez pagada la cuota de construcción, y le transferimos la titularidad de las cuentas cuando haga falta; las cuentas que su empresa ya tiene siguen siendo suyas. Las bibliotecas reutilizables y los componentes de terceros tienen sus propias licencias, así que el acuerdo los nombra. Si usted se va, todo se va con usted: entregamos credenciales y documentación, incluida la documentación del código fuente, de administración y de puesta en marcha, para que otro proveedor calificado o su propio personal pueda mantener la aplicación.

Ninguna aplicación garantiza posiciones en buscadores, clientes potenciales, clientes, activos ni resultados. Una herramienta a medida se justifica por un problema operativo, como la captura repetida de datos, la recopilación lenta de documentos, un cálculo que sus herramientas no pueden hacer o sistemas que no se conectan, y los resultados son operativos: el personal puede explicar quién es responsable de cada paso, cada usuario ve solo lo que su función permite, y la empresa puede ver quién cambió, aprobó, descargó o eliminó información.