Una integración olvidada no suele fallar el día en que se crea. Puede seguir leyendo datos, ejecutando acciones o consumiendo una cuenta técnica durante meses, mientras cambia el equipo, se sustituye una aplicación o caduca un contrato. El problema aparece cuando ya no hay una persona que pueda explicar para qué sirve, qué datos toca y cómo detenerla con seguridad.
Hacer un inventario de integraciones SaaS no consiste en reunir una lista de aplicaciones. Consiste en identificar flujos con capacidad de leer, transformar o escribir datos de negocio, asignarles un responsable y decidir el control proporcional a su impacto. Es un trabajo especialmente útil antes de desplegar agentes de IA, renovar una herramienta SaaS, responder a una auditoría o consolidar aplicaciones.
Qué debe entrar en el inventario
Incluya cualquier conexión que intercambie datos o ejecute acciones entre aplicaciones, aunque no se presente como una automatización. Por ejemplo:
- conectores entre CRM, ERP, correo, atención al cliente, almacenamiento o analítica;
- formularios que crean contactos, oportunidades, tickets o usuarios;
- exportaciones programadas, informes enviados por correo y sincronizaciones de archivos;
- webhooks, claves API, OAuth y cuentas de servicio;
- integraciones configuradas por proveedores, departamentos o personas usuarias;
- agentes o asistentes que consultan conocimiento corporativo o actúan sobre una aplicación.
No basta con inventariar la herramienta que inicia el flujo. Una conexión de un formulario a un CRM puede incluir una cuenta de correo, un almacenamiento temporal, una hoja de cálculo y una regla que avisa a ventas. El inventario debe permitir seguir el recorrido completo de la información y de la acción.
Cómo descubrir conexiones que no figuran en ningún mapa
1. Empiece por las fuentes de evidencia, no por las entrevistas
Las entrevistas ayudan a entender el propósito, pero rara vez descubren todo. Reúna primero evidencias técnicas y operativas: listado de aplicaciones aprobadas, registros de administradores, aplicaciones OAuth autorizadas, cuentas de servicio, claves API, webhooks, integraciones de marketplace, facturas SaaS y automatizaciones activas en los sistemas más críticos.
Después contraste esas evidencias con los responsables de proceso. Una cuenta llamada marketing-sync no explica si copia contactos a una campaña, actualiza consentimientos o alimenta un informe que ya no se utiliza.
2. Registre una ficha mínima por integración
Una ficha útil permite tomar decisiones, no solo cumplir con una plantilla. Como mínimo, documente:
- nombre y propósito: qué necesidad de negocio resuelve;
- origen, destino y recorrido: aplicaciones, buzones, colas o repositorios implicados;
- datos y acciones: qué información lee, crea, modifica, borra o comunica;
- identidad usada: persona, cuenta técnica, OAuth, clave API o certificado;
- propietario de negocio y propietario técnico: dos responsables que no tienen por qué coincidir;
- frecuencia y dependencia: cuándo se ejecuta, quién depende del resultado y qué ocurre si se detiene;
- controles: aprobaciones, registros, límites, alertas, caducidad y procedimiento de reversión.
Si no se puede completar el propósito, el propietario y el alcance de datos, la integración ya merece una revisión prioritaria. La ausencia de documentación no demuestra mala fe; sí impide evaluar el riesgo y recuperar la operación.
3. Busque señales de automatización huérfana
Priorice para revisión las conexiones que cumplan una o varias de estas condiciones:
- pertenecen a una persona que ha cambiado de puesto o ya no trabaja en la empresa;
- tienen permisos de edición o borrado y nadie confirma que el flujo sigue siendo necesario;
- usan una cuenta compartida o una clave que no tiene caducidad ni propietario;
- transfieren datos personales o financieros a una aplicación no incluida en el proceso aprobado;
- generan errores recurrentes, duplicados o ejecuciones fuera del horario esperado;
- carecen de un modo seguro de pausa, de una copia de sus reglas o de un responsable de recuperación.
Clasifique el riesgo para decidir sin paralizar el negocio
Una clasificación sencilla evita tratar igual un informe interno y una automatización que modifica proveedores en el ERP. Valore cada integración con cuatro preguntas:
- Impacto de la acción: ¿solo informa, o puede crear, modificar, pagar, publicar o borrar?
- Sensibilidad de los datos: ¿maneja datos públicos, internos, personales, financieros o secretos?
- Alcance: ¿afecta a un usuario, a un equipo, a todos los clientes o a varios sistemas?
- Recuperabilidad: ¿se puede deshacer una ejecución y comprobar el resultado sin intervención compleja?
Una integración que solo genera un borrador de correo puede requerir registro y propietario. Una que modifica datos maestros, envía información a un tercero o ejecuta acciones masivas debería tener permisos mínimos, límites de volumen, evidencias de ejecución y aprobación humana para las excepciones. La IA puede ayudar a clasificar solicitudes o resumir incidencias, pero no debe sustituir reglas deterministas cuando hay pagos, cambios sensibles o decisiones con consecuencias relevantes.
Qué hacer con cada hallazgo
El resultado de la revisión no tiene por qué ser eliminar la integración. Decida una de estas cuatro salidas y deje constancia de ella:
- Regularizar: asignar responsables, documentar el recorrido, rotar credenciales y aplicar los controles que faltan.
- Limitar: reducir permisos, datos, frecuencia o destinos; separar lectura y escritura; añadir aprobación.
- Sustituir: migrar un flujo frágil a una integración mantenida, con pruebas y plan de reversión.
- Retirar: desactivar de forma planificada, conservar la evidencia necesaria y revocar identidades, tokens, webhooks y accesos asociados.
Antes de retirar, avise a las personas dependientes y observe un ciclo operativo completo cuando sea posible. Desconectar una integración sin conocer su función puede detener la facturación, la atención al cliente o un control de seguridad.
Un proceso repetible, no una foto anual
El inventario pierde valor si solo se actualiza cuando hay una incidencia. Intégrelo en los cambios normales: alta de una nueva aplicación, aprobación de un proveedor, salida de una persona, cambio de alcance de datos, renovación de contrato y baja de una herramienta. Establezca una revisión periódica proporcional al riesgo y un canal para que los equipos declaren nuevas conexiones antes de ponerlas en producción.
También conviene medir lo básico: integraciones con propietario asignado, con alcance de datos documentado, con credenciales próximas a vencimiento, sin ejecución reciente y con fecha de última revisión. Estas métricas no sustituyen una auditoría, pero revelan dónde concentrar el esfuerzo.
Límites que conviene asumir
Ninguna búsqueda encontrará una conexión que se ejecuta fuera de los sistemas que la organización administra o de la que no quedan registros. Por eso el inventario debe combinar evidencia técnica, compras, seguridad y responsables de proceso. Tampoco es realista certificar de una vez que todas las integraciones son seguras: el objetivo inicial es conocer las de mayor impacto, ponerles dueño y reducir los riesgos más evidentes.
Si necesita descubrir integraciones, definir un modelo de control o convertir esa revisión en flujos mantenibles, KMOOPS puede ayudarle desde la consultoría y los servicios de automatización. Para valorar el alcance en su entorno, puede contactar con el equipo.