Soporte IT para pymes: qué debe incluir y cómo evaluar un SLA

1. Define el servicio que la empresa realmente necesita

Haz un inventario de usuarios, sedes, laptops, estaciones, servidores, redes, impresoras, correo, nube y aplicaciones. Marca cuáles son administrados por otro proveedor y cuáles ya tienen garantía. Luego identifica procesos críticos: ventas, facturación, citas, diseño, archivos compartidos o trabajo remoto. Un proveedor no puede comprometer un nivel de servicio sensato si desconoce el entorno y sus dependencias.

Decide qué debe incluir el soporte: mesa de ayuda remota, visitas, mantenimiento, altas y bajas de usuarios, parches, inventario, respaldo, monitoreo, compras, coordinación con terceros o ciberseguridad. “Soporte ilimitado” no explica si cubre proyectos, nuevas instalaciones, recuperación de datos, equipos personales o incidentes fuera de horario. Cada término amplio necesita una definición y una exclusión visible.

• Activos, usuarios, sedes y aplicaciones cubiertos.
• Canales y horario para solicitar atención.
• Tareas recurrentes incluidas y proyectos cotizados aparte.
• Responsabilidad frente a fabricantes y proveedores externos.
• Condiciones para trabajo presencial y fuera de horario.

No compares propuestas con nombres de planes. Compara una matriz de alcance: la misma tarea, activo, horario y resultado esperado para cada proveedor.

2. Compara modelos de costo con el mismo escenario

El cobro por incidente puede servir cuando la demanda es ocasional, pero vuelve variable el gasto y puede desincentivar la prevención. Las bolsas de horas aportan previsibilidad limitada y requieren reglas de vencimiento y consumo. Los planes por usuario o dispositivo facilitan presupuesto y gestión recurrente, aunque el precio depende de herramientas, horario, complejidad, volumen y riesgo. Los proyectos deben separar entregables, cambios y aceptación.

Solicita una propuesta que muestre tarifa, impuestos, mínimos, desplazamiento, herramientas, licencias, repuestos y recargos. Pregunta qué sucede al superar el volumen o incorporar usuarios. No inventes una comparación usando sólo la cuota mensual: estima uno o dos escenarios reales y suma costos excluidos, tiempo interno de coordinación y posible indisponibilidad. La opción más económica puede resultar cara si deja sin dueño los respaldos o la seguridad.

• Incidente o tiempo consumido.
• Bolsa prepagada con reglas de vigencia.
• Plan recurrente por usuario, dispositivo o entorno.
• Proyecto de alcance y aceptación definidos.
• Servicios especializados o fuera de cobertura.

3. Construye prioridades y tiempos que puedan medirse

Define prioridad combinando impacto y urgencia. Una falla que detiene facturación para toda la empresa debe tratarse diferente de una solicitud cosmética individual. Para cada nivel especifica ejemplos, horario de medición y objetivo de primera respuesta. Aclara si “respuesta” significa acuse automático, contacto humano o inicio del diagnóstico; son experiencias muy distintas.

Incluye objetivos de actualización y restauración cuando sea razonable, pero distingue restaurar el servicio de resolver la causa definitiva. Un proveedor puede activar una alternativa temporal mientras espera un repuesto o una corrección externa. Documenta pausas válidas —por ejemplo, espera de acceso, decisión del cliente o tercero— y cómo se reanuda el reloj. Evita promesas absolutas para dependencias que el proveedor no controla.

• Definición objetiva de cada prioridad.
• Horario, zona horaria y días excluidos.
• Primera respuesta humana e inicio de trabajo.
• Frecuencia de actualizaciones y ruta de escalamiento.
• Objetivo de restauración y criterio de cierre.

“Respondemos en una hora” no significa “queda resuelto en una hora”. Exige que cada métrica tenga evento inicial, evento final y evidencia.

4. Define acceso, seguridad y responsabilidad compartida

NIST recomienda documentar el nivel de servicio, responsabilidades y expectativas al contratar servicios administrados, y recuerda que la organización conserva su responsabilidad sobre la información. Exige cuentas individuales, mínimo privilegio, autenticación multifactor, registro de acceso y aprobación para cambios sensibles. Evita credenciales administrativas compartidas por correo o mensajería.

Aclara propiedad de configuraciones, documentación, dominios, licencias, respaldos y registros. Define notificación de incidentes, preservación de evidencia, uso de subcontratistas y acceso desde terceros países cuando aplique. CISA y socios internacionales recomiendan que clientes y proveedores entiendan sus responsabilidades y protejan la relación de confianza, porque un proveedor con acceso amplio puede aumentar el impacto de un compromiso.

• Cuentas nominales, MFA y privilegios aprobados.
• Registro y revisión de accesos y cambios.
• Plazo y canal de notificación de incidentes.
• Propiedad, ubicación y retención de información.
• Revocación de acceso al cambiar o terminar el contrato.

5. Evalúa el servicio con resultados, no con tickets cerrados

Acuerda un informe periódico con volumen por categoría, tiempos, cumplimiento del SLA, reincidencias, activos problemáticos, parches, respaldos y riesgos abiertos. Un ticket cerrado no demuestra que el usuario volvió a trabajar ni que la causa quedó controlada. Usa encuestas breves y revisa una muestra de cierres para confirmar calidad de diagnóstico, comunicación y documentación.

Establece reuniones de servicio, mejora continua y un plan de salida. La empresa debe poder recibir inventario, credenciales bajo su control, configuraciones, documentación y exportación de datos en un formato utilizable. Prueba el proceso de escalamiento antes de una crisis y revisa el acuerdo cuando cambien sedes, aplicaciones o exposición. Un SLA útil evoluciona con la operación y permite conversaciones basadas en evidencia.

• Cumplimiento por prioridad y no sólo promedio general.
• Incidentes repetidos y acciones preventivas.
• Estado de activos, actualizaciones y recuperación.
• Riesgos aceptados con responsable y fecha.
• Entregables y asistencia durante la terminación.