Cómo diagnosticar una fintech rota en 30 días. Una auditoría de cinco dominios.

Cuando una fintech necesita un turnaround (darle la vuelta a una empresa que rinde por debajo de su potencial), quien hace la evaluación suele tener poco tiempo. Un CEO entrante tiene un mandato del consejo que incluye «tome decisiones rápido». Un directivo fraccional tiene una ventana de encargo definida que no permite un descubrimiento indefinido. Un consejero o un inversor tiene un calendario de adquisición que no espera a una revisión exhaustiva de consultora.

Treinta días bastan para diagnosticar - si se sabe dónde mirar. Los diagnósticos que fracasan no se quedaron sin tiempo. Profundizaron en un dominio y se perdieron los demás. Un diagnóstico de turnaround con una comprensión perfecta del modelo financiero y cero comprensión de la postura de compliance es una imagen parcial, y la parte que falta suele ser donde se esconde el modo de fallo real.

He hecho variantes de esta auditoría en varios encargos de turnaround y en una transición completa de CEO. El marco que se sostiene en todos ellos es una auditoría de cinco dominios: salud comercial, producto e ingeniería, compliance y regulación, operaciones y equipo, disciplina financiera. Los dominios están secuenciados de forma que las preguntas de cada uno informen las del siguiente, y la síntesis final produce decisiones concretas en lugar de una lista de preocupaciones.

La auditoría de cinco dominios

Cada dominio tiene la misma estructura: qué mirar, qué se considera «roto» y qué resultados concretos debe producir la auditoría. Los cinco dominios no pesan lo mismo - su peso depende de la situación concreta - pero todos son necesarios. Saltarse uno produce un diagnóstico que la realidad operativa acabará contradiciendo.

Dominio 1. Salud comercial

Qué mirar.

La cartera comercial, las operaciones ganadas y perdidas recientes, la lista de clientes con su concentración de ingresos, las condiciones contractuales de las cuentas activas, el calendario de renovaciones y la disciplina de descuentos de los últimos 12 meses. Las conversaciones con comercial, customer success y el CEO sobre por qué cerraron operaciones concretas y por qué hay cuentas concretas en riesgo.

Qué se considera roto.

Los tres primeros clientes representan más del 50% de los ingresos, sin vinculación contractual más allá de 12 meses. La cartera comercial tiene carácter de «escenario optimista»: cada operación asume el mejor calendario posible, precio de tarifa y ninguna concesión de alcance. Las operaciones ganadas recientes muestran un patrón de concesiones (servicios profesionales gratis, módulos gratis, pago aplazado) que el equipo trata como puntuales y que en realidad se han vuelto estándar. Las renovaciones de los dos próximos trimestres no tienen ninguna conversación comercial formal agendada. La disciplina de descuentos de los últimos 12 meses muestra que lo que debería ser un proceso comercial delegado ha sido en realidad una sucesión de intervenciones del CEO.

Qué producir.

Una cifra de ingresos en riesgo para los cuatro trimestres siguientes. Una lista de cuentas que requieren atención comercial inmediata. Una valoración de si la estructura de precios actual es defendible al ritmo actual de concesiones. Una opinión sobre si la cartera comercial es real o un artefacto del CRM.

Dominio 2. Producto e ingeniería

Qué mirar.

El roadmap tal como está hoy frente al roadmap de hace doce meses. El backlog de integraciones y su antigüedad. El registro de incidencias de producción de los últimos seis meses. La deuda técnica tal como la entiende la dirección de ingeniería. La frecuencia de despliegue, el tiempo medio de recuperación y la realidad de la rotación de guardias. Las dependencias de proveedores y plataformas, y las condiciones contractuales de salida de cada una.

Qué se considera roto.

El roadmap de hace doce meses tiene un 60% de elementos sin entregar y ahora aparece en el roadmap actual sin reconocer que van con retraso. El backlog de integraciones tiene tickets de más de seis meses. El registro de incidencias muestra incidencias recurrentes en los mismos componentes, con post-mortems que identifican causas pero sin remediación completada. La frecuencia de despliegue ha caído durante el último año. La dirección de ingeniería no sabe responder a «qué haría falta para entregar la funcionalidad X» con un plazo creíble.

Qué producir.

Una lista de los tres o cuatro elementos de ingeniería que, si siguen sin atenderse, crearán daño comercial o exposición regulatoria en dos trimestres. Una valoración de si la dirección de ingeniería es capaz de ejecutarlos o si el cuello de botella es estructural. Una opinión sobre la deuda técnica como pasivo financiero - y no como un backlog de «algún día habría que limpiar esto».

Dominio 3. Compliance y regulación

Qué mirar.

El estado actual de la licencia con cada regulador. El histórico de comunicaciones regulatorias, en especial cualquier punto abierto o requerimiento que indique preocupación del supervisor. El histórico de auditorías (internas y externas). El programa de AML/KYC: políticas documentadas, práctica real, resultados de la monitorización de transacciones, volumen y calidad de los reportes de operaciones sospechosas. La postura de protección de datos (RGPD o equivalente). La postura de ciberseguridad (estado de la ISO 27001, histórico de pruebas de penetración, preparación de respuesta a incidentes). El reporting de compliance al consejo.

Qué se considera roto.

Correspondencia regulatoria con puntos abiertos vencidos hace más de tres meses y sin plan documentado de remediación. Hallazgos de la última revisión externa sin abordar en las respuestas de la dirección. Políticas documentadas de AML/KYC que no coinciden con lo que hace realmente el equipo de operaciones. Una monitorización de operaciones sospechosas que produce más alertas de las que el equipo puede triar. Procesos de protección de datos con brechas conocidas que el equipo de privacidad ha señalado y la capa ejecutiva no ha abordado. Certificaciones ISO caducadas o con auditorías de seguimiento vencidas.

Qué producir.

Una lista de puntos de compliance que constituirían exposición regulatoria si un supervisor entrara mañana. Una valoración de si la función de compliance tiene la autoridad y los recursos para cerrar las brechas. Una opinión sobre si la relación con el regulador es sana, neutra o tensa - porque la misma brecha se ve distinta según la relación.

Dominio 4. Operaciones y equipo

Qué mirar.

El organigrama publicado y el organigrama tal como funciona en la práctica. El equipo directivo: quién reporta a quién, quién decide realmente sobre qué, dónde está delegada la autoridad y dónde se atasca. El riesgo de persona clave: qué individuos concentran conocimiento institucional, relaciones con clientes o posición regulatoria que la organización no pueda reemplazar con facilidad. La realidad de la gestión del desempeño y la retribución. Los patrones de comunicación: qué se discute por escrito, qué por chat, qué solo en reuniones y qué se evita.

Qué se considera roto.

El organigrama publicado tiene puestos que no coinciden con cómo fluyen realmente las decisiones. Dos o tres directivos concentran un conocimiento institucional desproporcionado sin sucesión documentada. La retribución está desalineada con el riesgo de retención de las personas que la organización no puede permitirse perder. Decisiones que deberían estar delegadas se acumulan en el nivel del CEO, que es un indicador adelantado de un CEO que no puede confiar en su equipo. Los patrones de comunicación muestran los temas que la organización está evitando - normalmente los temas que hay que abordar primero.

Qué producir.

Una lista de riesgos de persona clave con acciones concretas de mitigación. Una valoración de si el equipo sénior es el equipo que exige la siguiente etapa, con una opinión puesto por puesto. Una opinión sobre el patrón cultural que el CEO tendrá que reforzar o cambiar para que el turnaround sea ejecutable.

Dominio 5. Disciplina financiera

Qué mirar.

La posición de caja y el margen de caja, con los supuestos explícitos. La antigüedad de las cuentas a cobrar y su tendencia reciente. La posición de cuentas a pagar. La economía unitaria por segmento de cliente. Los controles financieros: quién puede gastar qué sin aprobación, qué se contabiliza mensual y qué trimestralmente, el proceso de asientos, la cadencia de conciliación bancaria. La contabilidad de gestión frente a las cuentas estatutarias: dónde divergen y por qué.

Qué se considera roto.

La posición de caja es plausible pero los supuestos de debajo (calendario de cobros, aplazamiento de pagos, ingresos puntuales) son optimistas. La antigüedad de cobros muestra cuentas con más de 60 días de retraso que customer success no ha escalado. La economía unitaria por segmento no se conoce realmente: la dirección tiene una cifra mezclada pero no sabe explicarla por tipo de cliente. Las aprobaciones de gasto son teóricas: la práctica real permite incurrir en gastos y justificarlos después. Las conciliaciones bancarias van retrasadas. La contabilidad de gestión y la estatutaria divergen de formas que el director financiero no sabe explicar del todo.

Qué producir.

Un margen de caja revisado con supuestos sometidos a estrés. Una lista de partidas a cobrar que exigen acción inmediata. Una valoración de si los controles financieros son suficientes para la etapa de la empresa y los requisitos de su licencia. Una opinión sobre si la función financiera está al nivel que exige la siguiente etapa.

La revisión en 30 días

Los cinco dominios se distribuyen a lo largo del mes en un orden concreto. El orden importa porque los hallazgos de cada dominio informan las preguntas del siguiente.

Semana 1. Data room y revisión documental.

La primera semana es trabajo de escritorio. Saque el data room y lea todos los documentos. Presentaciones de precios, material reciente del consejo, informes de auditoría, correspondencia regulatoria, el roadmap de ingeniería, el manual de compliance, el organigrama, la contabilidad de gestión. El objetivo es entender qué cree la organización que es cierto, antes de empezar a preguntar qué es cierto de verdad.

Al final de la semana 1 debería tener una lista de inconsistencias entre documentos: casos donde la página de precios dice una cosa y los contratos otra, casos donde el organigrama muestra una estructura y la contabilidad de gestión otra, casos donde el roadmap de ingeniería y el último informe al consejo no coinciden. Las inconsistencias son el punto de partida de la semana 2.

Semana 2. Entrevistas con los implicados.

La segunda semana son conversaciones individuales con el equipo sénior, los responsables clave y colaboradores individuales seleccionados. Los mismos cinco dominios, preguntas estructuradas, escuchando lo que no se dice tanto como lo que se dice. Cada entrevista debería contrastar una o dos de las inconsistencias de la semana 1 - no como pillada, sino como ejercicio de calibración.

Las entrevistas producen un mapa de dónde la organización tiene una comprensión compartida y dónde distintos responsables llevan imágenes distintas de la misma realidad. Los puntos donde los directivos discrepan sobre hechos básicos (trayectoria de ingresos, concentración de clientes, estado regulatorio) suelen ser donde la auditoría necesita cavar más hondo.

Semana 3. Inmersión en clientes y operaciones.

La tercera semana es externa y operativa. Dos o tres conversaciones con clientes, idealmente mezclando cuentas «contentas» y «en riesgo». Una revisión de la postura de compliance desde la óptica del regulador. Un recorrido por la respuesta a incidencias de producción. Una lectura real de la posición de cobros y de caja.

Las conversaciones con clientes, sobre todo, tienden a reajustar la imagen interna. La visión del equipo sobre la satisfacción de un cliente clave suele diferir de forma significativa de la visión real del cliente, y la diferencia es información estructural sobre la organización - no solo sobre la cuenta.

Semana 4. Síntesis y recomendaciones.

La cuarta semana vuelve al escritorio. Los cinco dominios se agregan en una evaluación estructurada, con decisiones concretas que tomar y acciones concretas que ejecutar. El resultado es breve - de doce a veinte páginas incluyendo anexos - y nombra qué está roto, nombra qué funciona, secuencia las decisiones de los 90 días siguientes e identifica los recursos necesarios.

La síntesis debería discutirse con el consejo o con quien encargó el trabajo antes de que se cierre la ventana del encargo. La conversación alrededor de la síntesis es donde la auditoría se vuelve operativa. El documento por sí solo no cambia nada.

Qué no pueden revelar 30 días

Lo primero, cualquier cosa que requiera un ciclo de mercado u operativo más largo que la ventana de la auditoría. Patrones de renovación que emergen a lo largo de cuatro trimestres. Comunicaciones regulatorias que siguen calendarios anuales de examen. Patrones de comportamiento de cliente que emergen en negocios estacionales. La auditoría puede señalar la ausencia de datos en estas dimensiones, pero no puede generarlos en 30 días.

Lo segundo, cualquier cosa que requiera profundidad de relación para aflorar. Un equipo disfuncional que se comporta profesionalmente durante la auditoría parecerá más sano de lo que es. Una dinámica de fundadores que se está rompiendo no se mostrará del todo en 30 días de trato profesional. Una cultura en descomposición aparecerá como una serie de pequeñas señales que la auditoría puede catalogar pero todavía no ponderar correctamente.

La auditoría debería declarar qué no pudo evaluar con tanto rigor como declara qué sí evaluó. Los diagnósticos que fingen exhaustividad producen peores decisiones que los diagnósticos que admiten sus límites.

Para qué sirve la auditoría

Las empresas que se benefician de este tipo de auditoría son aquellas cuya dirección está dispuesta a actuar sobre el resultado. La auditoría que produce buenas decisiones pero aterriza ante un consejo o un CEO que no está listo para tomarlas es trabajo desperdiciado. La auditoría correcta, ante la persona correcta, comprime lo que de otro modo serían seis meses de descubrimiento operativo en treinta días de evaluación estructurada - que es justamente el objetivo.