Presupuestos de TI: Evita el gasto excesivo en SaaS

06.03.2026

11 min de lectura

En promedio, un empresa mediana utiliza 275 aplicaciones SaaS. En grandes empresas, esta cifra supera los 2.000. El problema: la mitad de estas aplicaciones no está registrada en el departamento de TI. Y el 70% de los gastos de software se asignan a las áreas de negocio, mientras que la TI solo controla el 26%. El desbordamiento de SaaS no es un problema de higiene de TI – es un fallo de gobernanza que debe ser incluido en la agenda estratégica.

La explosión invisible: 275 aplicaciones y la TI no conoce la mitad de ellas

Los datos del Índice de Gestión de SaaS Zylo 2025 dibujan un panorama desalentador: Una empresa promedio opera 275 aplicaciones SaaS. En grandes empresas, el Torii SaaS Benchmark Report 2026 registra hasta 2.191 aplicaciones. Y cada mes se agrega promedio ocho nuevas – a menudo sin el conocimiento o la autorización de la TI.

¿Qué es el desbordamiento de SaaS? El desbordamiento de SaaS se refiere a la expansión no controlada de software en la nube en las empresas. Las áreas de negocio adquieren herramientas de manera independiente, que no se registran de manera centralizada ni se verifican por seguridad, cumplimiento o redundancia. El resultado: funcionalidades superpuestas, licencias no utilizadas y zonas ciegas en la gobernanza de TI.

Más del 67% de todas las aplicaciones de la empresa, según Zylo, son shadow IT. El 67% de los encargados de TI mencionan la adquisición no controlada por parte de las áreas de negocio como su mayor problema de SaaS. Y esto no es una cuestión de falta de disciplina en la TI – es un déficit estructural de gobernanza que tiene sus raíces en el nivel de la dirección.

El patrón es siempre el mismo: Una área de negocio necesita una nueva herramienta. La adquisición oficial lleva semanas, mientras que la tarjeta de crédito funciona inmediatamente. En un cuarto de tiempo, 30 empleados utilizan la aplicación, cargando datos de clientes y integrándola en procesos existentes. La TI se enterá – si es que alguna vez lo hace – en la próxima revisión de costos.

El 70% de los gastos se pierde en la IT

La transferencia de poder en la adquisición de software ya se ha realizado. Los departamentos especializados son responsables de hoy del 70% de los gastos SaaS. La departamentación de TI solo controla el 26%. El resto se distribuye entre Shared Services y Procurement. Esta transferencia no es necesariamente problemática – los departamentos especializados conocen mejor sus necesidades. Sin embargo, puede convertirse en un problema si no hay una visibilidad centralizada.

Promedio

275

Aplicaciones SaaS por empresa

Gastos de negocio

70 %

de los gastos SaaS fuera de la TI

Gasto en la nube

27 %

de los gastos que se pierden sin ser utilizados

Fuentes: Índice de Gestión de SaaS Zylo 2025, Estado de la Nube Flexera 2025

La consecuencia: Entre el 51 y el 53% de todas las licencias SaaS no se utilizan dentro de los 30 días después del compra (Zylo, 2025). Al mismo tiempo, los gastos para aplicaciones SaaS nativas de IA aumentan en un 108% en comparación con el año anterior. Las empresas están gastando cada vez más dinero en software que no supervisan, no utilizan completamente y no controlan centralmente.

Para el CFO significa: Un cuarto de los gastos en la nube no proporciona un valor medible. Para el CIO significa: El área de ataque crece con cada aplicación no autorizada. Para la dirección significa: Ambos problemas son su responsabilidad.

IA acelera la expansión irregulera

La difusión de herramientas de IA generativa ha llevado el problema de la TI oculta a una nueva dimensión. Un estudio de Bitkom de octubre de 2025 (n=604 empresas con más de 20 empleados) muestra: En el 8% de las empresas, la utilización de herramientas de IA privadas en el lugar de trabajo es ampliamente extendida – el doble del año anterior. En otros 17%, hay casos aislados. Y el 17% simplemente no lo sabe, pero actúan como si sí.

Al mismo tiempo, solo el 26% de las empresas proporcionan acceso oficial a herramientas de IA generativa a sus empleados. La brecha entre la demanda y la oferta se llena con la TI oculta. ChatGPT, Google Gemini, Claude – estas herramientas están a un solo clic en el navegador. Los empleados cargan datos de clientes, borradores de contratos y documentos de estrategia interna en servicios de IA externos, sin que la TI sepa nada sobre esto. Cada una de estas acciones es un posible flujo de datos.

Uri Haramati, cofundador del proveedor de gestión de SaaS Torii, resume la dinámica: La IA no inventó la TI oculta, pero ha aumentado drásticamente su velocidad y alcance (CIO Dive, marzo de 2026). Lo que antes eran herramientas de marketing o aplicaciones de gestión de proyectos aisladas, son hoy asistentes de IA que trabajan con datos de la empresa – sin que la TI sepa cuáles datos van donde.

NIS2 y DORA hacen que la gobernanza de SaaS sea obligatoria

La panorámica regulatoria ha cambiado drásticamente para 2025 y 2026. Con la implementación del EU AI Act y la aplicación de DORA y NIS2, el consejo de administración se responsabiliza personalmente por la gobernanza de ciberseguridad de su empresa. Esto incluye explícitamente la cadena de suministro de software.

Concretamente: NIS2 obliga a los órganos directivos a autorizar y supervisar medidas de gestión de riesgos de ciberseguridad. En caso de grave negligencia, se pronunciarán sanciones personales y suspensión temporaria del ejercicio de la función. Quien como miembro del consejo no sabe qué 275 aplicaciones SaaS se ejecutan en la empresa y cuáles de ellas tienen acceso a datos sensibles, tiene un problema que no puede resolver el director de tecnologías de la información (IT).

DORA aumenta las exigencias para el sector financiero adicionalmente: cualquier proveedor de tecnologías de la información (TI) externo debe ser registrado, evaluado y supervisado. Una herramienta SaaS que la división de cumplimiento utiliza para la gestión de contratos está sujeta igualmente, al igual que la plataforma ERP central. Quien no tiene un inventario completo de SaaS no puede cumplir con las exigencias de DORA.

«Los negocios deben evitar el crecimiento descontrolado de la inteligencia artificial (IA) y prevenir la desarrollación de una IA oculta. Para ello, deben establecer reglas claras para el uso de la IA y proporcionar a sus empleados tecnologías de IA.»

Dr. Ralf Wintergerst, Presidente de Bitkom (Noticia de prensa de Bitkom, octubre 2025)

Lo que pide Wintergerst para la IA se aplica igualmente a SaaS en general: quien no proporciona herramientas autorizadas a sus empleados no debe sorprenderse si ellos buscan ayuda por su cuenta. La responsabilidad no está con la división de tecnologías de la información (IT) – está con el nivel C, que es el encargado de la estructura de gobernanza.

Lo que el consejo debe decidir ahora

La gobernanza de SaaS no es una iniciativa de TI que el director de tecnologías de la información (CIO) pueda implementar por sí mismo. Requiere decisiones a nivel de la junta:

1. Crear transparencia: Sin una visibilidad completa no hay gobernanza. El consejo debe encargar un inventario de SaaS que registre todas las aplicaciones, incluyendo aquellas que no hayan sido solicitadas. Herramientas como Zylo, Torii o Productiv automatizan la detección. La tasa de capacidad – el porcentaje de la capacidad de TI que se destina a la administración en lugar de la innovación – suele estar entre el 25 y el 40 por ciento. Esta es la métrica que convence al CFO.

2. Definir reglas de adquisición: El consejo debe decidir quién puede comprar software y bajo qué condiciones. Esto no significa autorizar cada aplicación centralmente. Significa establecer umbrales claros: a partir de qué volumen de gasto entra en juego la evaluación central? ¿Qué categorías de datos requieren una evaluación de seguridad? ¿Qué estándares de cumplimiento no son negociables?

3. Ofrecer acceso oficial a la IA: La brecha del 26 por ciento en la provisión de IA es una invitación a la TI oculta. Quien proporciona a los empleados herramientas de IA revisadas y conformes con la privacidad reduce el incentivo para alternativas privadas. Esto no es una decisión tecnológica, sino una decisión de gestión de riesgos.

4. Clarificar responsabilidades: ¿Quién en el nivel C asume la responsabilidad global de la gobernanza de SaaS? La experiencia muestra que sin un propietario claro, cualquier iniciativa se desviará. Un consejo de SaaS con representantes de TI, finanzas y las principales divisiones profesionales crea la necesaria responsabilidad.

La posición contraria es válida: una gobernanza demasiado estricta frenará la innovación. Las divisiones que esperan meses para la aprobación de TI seguirán buscando sus propios caminos. La solución no está en el control, sino en la regulación – un marco de gobernanza que permita una adquisición rápida, pero asegure la visibilidad y el cumplimiento.

Resumen

SaaS-Sprawl es la erosion silenciosa de la gobernanza de TI. 275 aplicaciones, 70 por ciento de los gastos de negocio, 27 por ciento de los gastos innecesarios – y un consejo de administración que es responsable de todo lo que no conoce. NIS2 ha cambiado las reglas del juego: la falta de conocimiento no protege más contra la responsabilidad. El primer paso no es un proyecto de tecnología, sino una decisión del consejo: ¿qué software se ejecuta en este negocio, quién los ha ordenado y quién las gestiona? Quien no puede responder esta pregunta tiene un problema estratégico.

Preguntas frecuentes

¿Cuánto cuesta el SaaS-Sprawl a una empresa promedio?

Según Flexera State of the Cloud 2025, las empresas pierden promedio el 27 por ciento de sus gastos en la nube. Con un presupuesto SaaS de 5 millones de euros, esto equivale a 1,35 millones de euros al año en licencias no utilizadas, herramientas redundantes y suscripciones no administradas. Además, se incluyen costos indirectos debido a incidentes de seguridad y violaciones de cumplimiento.

¿En qué se diferencia el SaaS-Sprawl del clásico shadow IT?

El clásico shadow IT se centraba principalmente en instalaciones de software locales y hardware privados. El SaaS-Sprawl es más difícil de detectar, ya que las aplicaciones en la nube no requieren una instalación local. Un equipo de marketing puede contratar un herramienta de gestión de proyectos con una tarjeta de crédito sin que la TI sepa. La escalabilidad es inmediata, los costos aumentan y los datos se almacenan en una infraestructura en la nube que ninguna persona ha revisado.

¿Cuál es el papel de NIS2 en la gobernanza de SaaS?

NIS2 obliga a los órganos directivos a autorizar y supervisar el manejo de riesgos de ciberseguridad. Esto incluye la cadena de suministro de software. Las aplicaciones SaaS no controladas que tengan acceso a los datos de la empresa representan un riesgo de cumplimiento. En caso de grave negligencia, se pueden incurrir en responsabilidad personal, multas de hasta 10 millones de euros o el 2 por ciento del ingreso global anual, y suspensión provisional de los puestos de directivos.

¿Cómo rápidamente se puede construir un inventario de SaaS?

Las plataformas de gobernanza de SaaS como Zylo, Torii o Productiv pueden crear un primer inventario en dos a cuatro semanas. Analizan los datos de inicio de sesión único, transacciones financieras y tráfico de red para identificar automáticamente las aplicaciones utilizadas. El completo desarrollo de un marco de gobernanza de SaaS suele tardar tres a seis meses.

¿El CIO o el CFO deben ser responsables de la gobernanza de SaaS?

Ambos. El CIO es responsable de la gobernanza técnica: verificación de seguridad, conformidad con la privacidad de los datos y integración. El CFO es responsable de la gobernanza financiera: transparencia en los gastos, optimización de licencias y control de presupuesto. En la práctica, un SaaS Board compuesto por representantes de TI, finanzas y las principales áreas funcionales funciona mejor. La decisión estratégica sobre el marco de gobernanza se debe incluir en la agenda estratégica.