Gestión de la disciplina operativa

1) Objetivo y área

La disciplina operativa es un conjunto de reglas, hábitos y herramientas que garantizan la previsibilidad, seguridad y eficiencia del funcionamiento diario de la plataforma. Para iGaming, esto afecta directamente los ingresos (depósitos/apuestas), el cumplimiento regulatorio (KYC/AML/RG) y la reputación (SLO, comunicación de estado).

2) Principios

1. SLO-first: las decisiones se toman con la mirada puesta en los objetivos de accesibilidad/calidad.
2. Standard Work: todo lo crítico se describe en SOP y se revisa con hojas de comprobación.
3. El error es la señal del sistema: los incidentes conducen a mejoras, no a la «búsqueda de culpables».
4. Privilegios mínimos necesarios y SoD: separación de responsabilidades y probabilidad.
5. Automatiza la rutina, estandariza el resto.
6. Transparencia: observabilidad, páginas de estado, métricas abiertas.
7. Pequeños batches de cambios: ciclos cortos, reversibilidad, lanzamientos canarios.

3) Roles y Responsabilidades (RACI)

Head of Ops/SRE es el dueño de la disciplina, el presupuesto, la política.
Service Owners (leads de dominio) - SLI/SLO, cambios, evaluación de riesgos.
On-call/IC (de servicio) - soluciones operativas, escaladas.
Comms Lead - apdates externos/internos, páginas de estado.
Change Manager - Cumplir con el proceso de versiones y cambios.
QA/Compliance/Security - Control de SoD, auditorías, regulación.
Training Lead - formación, certificación de operadores.

4) Marco de documentación

SOP: procedimientos paso a paso (lanzamiento/restos, trabajos programados, failover PSP, retiros).
Runbooks: acciones rápidas sobre alertas (diagnóstico/fix/retroceso).
Políticas: SoD, accesos (RBAC/ABAC), gestión de cambios, post-mortem, almacenamiento de registros.
Check-list: pre-flight antes del lanzamiento/trabajos; post-checks después.
Catálogos: propietarios, contactos de proveedores, CMDB, cumplimiento de SLI→SLO.

5) Rituales y ciclos

• Transferencia por turnos (10-15 minutos), revisión de incidentes/alertas/trabajos programados; Inspección de los dashboards de servicio.

• stand-up Ops/SRE (15 min): burn-rate, colas «calientes», ventanas de riesgo.

• change-board de 30 a 45 minutos: plan de lanzamiento/trabajo, riesgos/migración.
• revisión de alertas: falsos/omitidos, ajuste de umbrales.

• post-mortem club: lidiar con los principales incidentes, acciones de mejora.
• FinOps-revisión: costo de observación/infra, eficiencia de optimización.

• ejercicios P1 (tabletop/game-day), verificación de DR/failover, revisión de SLO.

6) Gestión de cambios (Change Management)

Clases: Standard (preaprobado), Normal (a través de APROB), Emergencia (a través de IC/CL y post-Factum AMB).
Gates: pruebas, seguridad, cumplimiento, reversibilidad, notas de lanzamiento.
Técnicas: Canario/Azul-Verde, Banderas de Fich, Ascensos Progresivos, Heladas para Eventos Pico.
Criterios «go/no-go»: SLO-view en verde, sin burn-rate, reserva de ventana de retroceso.
Seguimiento obligatorio post-lanzamiento (30-60 min) con lista de verificación.

7) Incidentes y post mortem

Clasificación de P1-P4, temp SLA de los apdates (por ejemplo, P1: ≤10 min primer apdate, en adelante 15-30 min).
ChatOps/incidente-bot: tarjeta única, war room, temporizadores, draft→publish a la página de estado.
Postmortem sin cargos: hechos, causas raíz (esas, proceso, personas), medidas de prevención; Fecha de publicación ≤ D + 5.
Tracking Actions: owner, plazo, efecto medible (palanca SLO/ingresos).

8) Vigilancia y control

SLI/SLO: inicio de sesión, depósito, stavka→settl, retiro; presupuestos de errores.
Señales de oro: latency, error, tráfico, saturation; SLI de negocios (éxito automático, apuestas exitosas).
Alerting: burn-rate, dedoop/histéresis/cupos; ligamentos runbook.
Estado de las páginas: públicas e internas; historia, localización, trabajo planificado.
Anomalías: STL/CUSUM/CPD; contexto (lanzamientos/banderas/proveedores).

9) Accesos y SoD

Los privilegios más pequeños, JIT/PAM, aumentos de derechos auditados.
SoD/4-eyes: conclusiones, bonificaciones, routing PSP, exportación PII.
Políticas de acceso a telemetría: prohibición de PII, tokenización, geo-fronteras.
Los rugidos trimestrales de derechos y claves; rotaciones de secretos por horario.

10) Reducción del toil y automatización

Catálogo de Auto-Acción: PSP Feolover, Degradación de Fich, Auto Scale por Lag, Bloque de Exportación PII.
Políticas con guardrails: límites, TTL, criterios de reversión.
Herramientas de autoservicio: plantillas de lanzamiento, dashboards, generadores de informes, formularios de trabajo planificado.
Racionamiento de trabajos repetibles → backlogs automatizados con ROI.

11) Control de calidad y auditoría

Calidad KPI: MTTA/MTTR,% post-mortem a tiempo, porcentaje de incidentes capturados antes de las quejas, precisión de los apdates de estado, disciplina de lanzamientos (sin retrocesos).
Riesgo KRI: crecimiento de procesos de DLQ, burn-rate, picos de exportaciones PII/violaciones de SoD.
Auditoría-rastro: registros WORM, versiones de directivas, diffs de mensajes de estado.
Informes regulatorios: SLA KYC/AML/retiros, disponibilidad de transacciones de pago, historial de incidentes.

12) Formación y certificación

Onboarding Operators: SOP básico, alerting, ChatOps, comunicaciones de estado.
Ejercicios prácticos: simulaciones P1, DR Feilover, fallo PSP.
Certificación de roles: IC/CL/Domain Lead - examen/certificado de 12 meses.
Materiales: videos, simuladores paso a paso, casos de prueba, preguntas frecuentes.

13) Modelo de madurez (L1→L5)

L1 Reactiva: reacción caótica, sin SLO, lanzamientos manuales.
L2 Administrado: SOP/alertas, AMB, status page, SLO básicos.
L3 Productivo: ChatOps, burn-rate, lanzamientos canarios, post-mortem.
L4 Preventivo: anomalías, acciones automáticas con guardrails, panel FinOps.
L5 Auto-curativo: SLO-gates de lanzamientos, señales predictivas, comunicación «zero-surprise».

14) Métricas de disciplina operativa (KPI/KRI)

Disciplina de comunicaciones: MTTA-Comms, cumplimiento de intervalos de apdate, divergencia de canales = 0.
Procesos:% de lanzamientos con enrollamiento canario, porcentaje de retrocesos, promedio de «tiempo en monitoreo».
Fiabilidad:% de los incidentes detectados por sintética/SLI, media burn-rate antes de la reacción.
Automatización: tasa auto-fix, proporción de tareas realizadas sin operador.
Finanzas: $/incidente, $/observabilidad en RPS, ahorro de medidas automáticas.
Cumplimiento: infracciones SoD, retraso KYC/AML/conclusiones, defectos de auditoría.

15) Hoja de ruta para la implementación (6-10 semanas)

• Auditoría de procesos actuales, tarjeta SLI/SLO, registro SOP/políticas, asignación de roles RACI.
• Introducción de transmisiones intercambiables y puestos diurnos; El APROB mínimo.

• Ejecutar la página de estado y el bot de ChatOps (MVP); plantillas de los primeros apdates; burn-rate-alertas.
• Plantilla de post mortem rígida, fecha de publicación ≤ D + 5.

• Lanzamientos canarios y lanzamientos de SLO; catálogo de 5-7 acciones automáticas con guardrails.
• FinOps panel de observación; rugido trimestral de accesos/secretos.

• Ejercicios P1 (tabletop), plantillas DR/Feilover; extensión SOP/runbooks.
• Métricas de disciplina en dashboards Exec/Ops; SLA de estado y comm cadence.

• Optimización de alerting (dedoop/cuota/histéresis), reducción de falsas alarmas.
• Certificación IC/CL; Reglamento SoD/4-eyes; publicación de gaidbook operativo.

16) Artefactos

Manual operativo: principios, roles, rituales, métricas, patrones.
SOP/Runbook Library: versioned, con propietarios y fechas de revisión.
Change Policy & CAF Charter: criterios, formularios, gates, calendario freeze.
Kit de comentarios incidentales: plantillas de P1-P3, localización, políticas de ETA/ETR.
Access/SoD Matrix: quién puede qué, JIT/PAM, período de rugido.
Training & Certification Pack: planes, pruebas, listas de cheques.

17) Antipatternas

Lanzamientos «por naitia» sin gates y reversibilidad.
Pager por métricas «crudas», no SLO/burn-rate.
SOP «para la vista» - sin check-list y control de ejecución.
Incidentes sin acción y post mortem; buscar culpables en lugar de cambios del sistema.
PII en logs/dashboards/alertas; ausencia de SoD.
Comunicación monolítica sin status page y temporizadores de apdate.

Resultado

La disciplina operativa es el modo de funcionamiento de una organización, no un conjunto de regulaciones dispares. Al conectar el pensamiento SLO, el SOP/Runbook estandarizado, la disciplina de cambio, la observabilidad, ChatOps y la acción automática con guardrails, obtiene lanzamientos predecibles, respuestas rápidas a incidentes, ingresos sostenidos y cumplimiento de reguladores probados.