Evaluación técnica

Una firma regulada de gestión patrimonial armó su plataforma interna con agentes de Claude Code y un equipo sin ingenieros de software. Revisé durante tres semanas la seguridad, el compliance y la arquitectura. Encontré 148 hallazgos (2 críticos y 21 altos) y 59 cosas que convenía conservar. Le pasé cada hallazgo a un segundo modelo de AI para que lo cuestionara, reproduje los más riesgosos con datos sintéticos y anonimicé el código antes de que lo leyera cualquier AI. Con su equipo hicimos dos semanas de contención. Lo demás quedó en un roadmap de 40 iniciativas. Ver el caso completo

Un founder tenía que decidir si montaba un negocio nuevo sobre una plataforma de broker de seguros ya en producción: 600+ productores activos, 6 aseguradoras integradas. Evalué siete dimensiones y encontré 105 hallazgos, varios de seguridad críticos. El índice de carga cognitiva dio 450 sobre 1000 en la plataforma vieja contra 220 en la nueva, medido sobre 870 archivos y 195 mil líneas. Entregables: registro de hallazgos clasificado por severidad con evidencia, matriz de riesgo consolidada, roadmap de remediación por fases y una lectura ejecutiva que definió la decisión.

Evaluaciones de plataformas de riesgo crediticio y cobranzas para un grupo de préstamos: revisión de seguridad y compliance (OWASP Top 10, mapeo regulatorio bancario), deuda técnica con forensics del repositorio (bus factor, hotspots de cambio, churn × complejidad) y roadmap de remediación priorizado.

Auditoría completa de una plataforma de brokerage de salud (PHP/React): deuda técnica, riesgo arquitectónico, calidad de código, prácticas de delivery y performance del proveedor. Los hallazgos derivaron en una reestructuración del equipo y en el reemplazo de la consultora que no estaba rindiendo.

Lideré la due diligence técnica de un banco digital de uno de los grupos aseguradores más grandes de Argentina, dentro del M&A en el que el grupo compró parte de la fintech donde yo era VP de Engineering. Arquitectura, seguridad, infraestructura, contexto regulatorio y equipo, reportado directo a los que decidían. La operación cerró.

Depende de por qué te lo preguntás. Antes de una ronda arranco por Seguridad y Arquitectura; si se fue el CTO fundador o compraste la empresa, por Calidad de código e Infraestructura; antes de una reescritura, por Arquitectura y Deuda técnica; cuando una agencia te entregó el producto, por Infraestructura y Seguridad. Si no te ves en ninguno de esos casos, lo vemos en la llamada.

Acceso de solo lectura a repositorios de código fuente, consola de cloud (AWS/GCP/Azure), y cualquier documentación existente. Trabajo con el nivel de acceso que te deje tranquilo (cuanto más acceso, más profundo llego).

Sí. Antes de arrancar fijamos la lista de repositorios y sistemas, y qué decisión tenés que tomar con el resultado. Si encuentro más de lo que llego a revisar, te aviso a mitad de camino y elegís: cotizamos la ampliación o queda marcado como pendiente de confirmar.

Algo los voy a interrumpir, pero acotado. Contá con alrededor de un día entero de tus líderes técnicos, repartido en las tres semanas. Una call de kickoff, un par de charlas con quienes conocen el sistema y preguntas por Slack mientras avanzo. El resto lo hago yo, en el código y la infraestructura.

Te lo voy a decir. Mejor saber ahora que durante el due diligence o después de un incidente en producción. El reporte incluye no solo problemas sino caminos prácticos para solucionarlos.

Sí, aunque no está incluido en la evaluación. Hay tres caminos: lo arregla tu equipo, cotizamos la corrección aparte, o seguís con acompañamiento CTO (US$2K/mes, con cupo de horas) o un retainer de CTO fraccional (desde US$5K/mes). Lo definimos juntos después de que veas el reporte.

Las herramientas encuentran síntomas. Yo encuentro causas. Los scanners automatizados te avisan de vulnerabilidades conocidas y code smells. Yo puedo decirte por qué tu arquitectura se va a romper a 10x de escala y qué hacer al respecto. Además, cada hallazgo dice cómo se verificó: leído en el código, reproducido en una copia local o confirmado por tu equipo.

Sí. Firmo NDA antes de tocar nada. Tu repositorio vive en un volumen cifrado en mi máquina, y las herramientas de IA que uso leen sólo una copia con los datos personales y los secretos tachados. El informe se publica detrás de un login limitado a las personas que nombres, y borro todas las copias al cerrar el trabajo.