Idea central: en Europa, el debate sobre la gestión de licencias y activos digitales ha estado dominado por las grandes corporaciones. Pero quienes realmente están expuestas son las pequeñas y medianas organizaciones —incluidas asociaciones, fundaciones y entidades sociales—, que gestionan un número creciente de sistemas, pierden una parte significativa de su gasto en software y enfrentan un riesgo de seguridad que puede amenazar su supervivencia. Para sus directivos, controlar costos y proteger la organización son dos caras del mismo problema.
Gasto en software: organizaciones pequeñas, facturas grandes
Una pequeña empresa europea de menos de 100 empleados ejecuta de media 182 herramientas SaaS y gasta alrededor de 350.000 euros al año. Las organizaciones de entre 200 y 350 empleados ascienden a 273 herramientas y unos 900.000 euros; las de 350 a 500 empleados, a 295 herramientas y unos 2,2 millones de euros (Décision Achats). Es decir, incluso las organizaciones "pequeñas" tienen una complejidad y un costo de software que superan con creces la intuición de la mayoría de las direcciones.
Más preocupante aún es la dispersión de precios. El análisis de Spendesk basado en 2.568 empresas europeas muestra que la relación entre el precio por asiento que paga la empresa mejor gestionada y el que paga la mediana puede alcanzar: Figma 3,4:1, Slack 3,7:1, HubSpot 4,4:1, Atlassian 8,3:1 y Notion 9:1. Solo cerrando esa brecha de precios, las empresas de la UE de entre 50 y 250 empleados pagan cada año 7.000 millones de euros de más; eliminando además las compras duplicadas, se ahorrarían otros 3.000 millones. En total, el margen de optimización en la compra de software de las pymes se acerca a los 10.000 millones de euros.
En el ámbito de las herramientas de IA el problema es más agudo: el 72% de las empresas que compran estos productos pagan simultáneamente por al menos dos soluciones competidoras. La variación mensual mediana de las facturas de IA puede alcanzar el 61%, y el mes más alto puede ser hasta ocho veces el más bajo. Para una organización pequeña con un presupuesto ajustado, esa imprevisibilidad amenaza directamente la planificación presupuestaria.
Seguridad: un costo asimétrico
El desperdicio de costos es una hemorragia lenta; un incidente de seguridad es un golpe que puede ser letal.
Los datos de España ofrecen una perspectiva concreta: el 46% de las pymes españolas invierte menos de 500 euros al año en ciberseguridad, y solo el 7% supera los 2.000 euros (estudio de Gigas e Ipsos). Al mismo tiempo, el 78% de las empresas afirma disponer de algún tipo de protección, pero principalmente en el nivel básico. Ese estado de "conciencia alta, inversión baja" es precisamente el retrato de riesgo más típico de las organizaciones pequeñas.
Los datos a escala europea tampoco son alentadores. Una encuesta de Mastercard a 1.800 pymes europeas muestra que una de cada cuatro empresas ya ha sufrido un ciberataque, y la misma proporción teme que un ataque exitoso las obligue a cerrar. En Alemania, el 40,3% de las pymes ha experimentado un incidente de ciberseguridad en los últimos tres años (GlobalData).
Estas cifras deben leerse en el contexto de las restricciones de recursos. Las medianas empresas españolas destinan solo el 4% de su presupuesto de IT a ciberseguridad (Cylum), y el 60% de los responsables de IT describe su propia madurez en seguridad como "inicial": medidas básicas, pero sin procesos formales. El problema no es no saber que el riesgo existe, sino carecer de los recursos y los métodos para convertir ese conocimiento en acción.
Acción: tres pasos ejecutables de inmediato
Primero, hacer un análisis comparativo de precios del mismo software. No hace falta comprar ninguna plataforma. Identifique las cinco o diez herramientas de pago por asiento con mayor gasto en la organización y compárelas con los precios públicos del mercado o con lo que pagan organizaciones similares. Los datos de Spendesk demuestran que este solo paso revela las primas más evidentes: las diferencias de precio de Atlassian y Notion alcanzan 8,3 y 9 veces, respectivamente. En el caso de las herramientas de IA, revise prioritariamente si existen dos o más productos de pago con funcionalidades solapadas, algo que ocurre en el 72% de las empresas.
Segundo, vincular el proceso de salida con la recuperación de accesos en una misma lista. Ya se trate de empleados, voluntarios o colaboradores temporales, su salida de la organización debe activar: qué cuentas SaaS desactivar, qué credenciales compartidas cambiar y qué permisos de herramientas de IA revocar. Una lista de verificación sencilla vinculada al proceso de recursos humanos no requiere ninguna inversión tecnológica y, sin embargo, cierra la superficie de exposición más habitual. Cuando casi la mitad de las pymes españolas invierte menos de 500 euros al año en seguridad, el control de procesos es la línea de defensa con mejor relación costo-beneficio.
Tercero, crear una partida presupuestaria independiente para el gasto en seguridad. Las medianas empresas españolas destinan solo el 4% de su presupuesto de IT a ciberseguridad. Sin una línea presupuestaria propia no se puede medir el retorno ni justificar ante una junta directiva o un financiador la necesidad de invertir en seguridad. Aunque el importe sea pequeño, separarlo constituye en sí mismo un acto de gobernanza: convierte la "seguridad" de una preocupación difusa en una decisión que puede ser examinada y exigida.