Hoja de ruta tecnológica

1) Nombramiento y principios

La hoja de ruta describe cómo alcanzamos las métricas de negocio a través de iniciativas de ingeniería y cuándo se entregan.

• Outcome over output: los objetivos son medidos por SLO/KPI de negocio (no por el número de tareas).
• Descomposición por flujos de valor: Plataforma, Pagos, Datos/BI/ML, Seguridad/Cumplimiento, Fiabilidad/Observabilidad, DevEx/IDP.
• Horizontes: H1 (0-6 meses) - explotación; H2 (6-18 meses) - escala; H3 (18 + mes) - investigación/innovación.
• Now/Next/Later y estrategia de dos velocidades: ganancias rápidas + proyectos fundamentales.
• Evidence-based: cada afirmación es métrica, experimento o auditoría.

2) Marco de la hoja de ruta (artefactos)

Visión/Norte-viejo: 1 página «adónde vamos» (SLO, mercados de destino, licencias).
Pilares estratégicos: Escala, Fiabilidad, Seguridad, Velocidad de suministro, Economía.
Cartera anual de iniciativas con incrementos trimestrales.
OKR (compañía → dominio → equipo) y SLO (p95/TTFB, Time-to-Wallet, tolerancia a fallas).
Catálogo de dependencias (regulaciones, proveedores PSP/KYC, versiones backend/cliente).
Registro de riesgos y plan de respuesta.
RACI sobre iniciativas clave.
Calendario de lanzamientos y ventana libre.
Política de Despricaciones y Registro de Tehdolg.

3) Priorización: cómo elegir qué hacer primero

RICE (Reach, Impact, Confidence, Effort) - para productos/plataformas.
WSJF (Costo del tamaño Delay/Job) - para la infraestructura y la reducción de riesgos.
Guardrails: no ejecutamos iniciative sin KPIs medibles, propietario dedicado y plan de compatibilidad inversa.

4) Hilos (streams de valor) y objetivos

4. 1 Plataforma/Infraestructura

Objetivos: p95 API <1500 ms, auto skaling, lanzamientos canarios, DR RTO≤1ch/RPO≤5min.
Madurez: de «lanzamientos manuales» a «policy-as-code + autocorrección por SLO».

4. 2 Pagos/Conclusiones

Objetivos: Time-to-Wallet p95 ≤ 30s, aumento de la conversión de depósitos + X%, PSP smart-routing tolerante a fallas.

4. 3 Datos/BI/ML

Objetivos: contrato único de eventos, DWH + streaming, antifraude-ML, análisis de productos.

4. 4 Seguridad/Cumplimiento

Objetivos: lectura PCI/GDPR, firmas SBOM +, "no humans in prod', PAM/SSO + MFA, eBPF/runtime-detect.

4. 5 Confiabilidad/Observabilidad

Objetivos: Error budget ≤ 1%, OTel de extremo a extremo, monitoreo synthetic de escenarios críticos.

4. 6 DevEx/IDP (plataforma del desarrollador)

Objetivos: TTFPR ≤ 1 día, previsualización per-PR, pruebas de contrato en todas partes, catálogos de plantillas.

5) Ejemplo de carta anual (H1: 0-6 mes, H2: 6-12 mes)

H1 (Barrios de Q1-Q2)

• IDP MVP: plantillas de servicio, CI básico (lint + unit + build), previsualizaciones.
• Observability 1. 0: OTel, dashboards p95/5xx/DLQ, alertas SLO.
• Payments v1: 2 PSP + failover, Idempotency-Key, webhooks firmados.
• Núcleo de seguridad: SSO + MFA, KMS, políticas básicas de administración, SBOM por cada billete.

• Canary/Blue-Green, autocartera por SLO.
• Data Platform 1. 0: bus único de eventos, Data Catalog, contrato-validación.
• Anti-fraud Signals 1. 0 (reglas + flagelación).
• FinOps 1. 0: showback, primeros presupuestos y cuotas.

H2 (Q3–Q4)

• Smart-routing PSP по SLA/гео, Shadow traffic.
• Resiliencia: pruebas chaos de staging, DR-dray-ranas.
• Security 2. 0: firma de imágenes + admission-enforce, SOAR playbooks.
• Data 2. 0: DWH + informes de métricas de producto, puntuación ML (beta).

• Ring-deployments por regiones/tenantes.
• Costa Guardrails: auto-apagado idle-resources, rightsizing.
• Paquete de compliance: artefactos PCI/GDPR, trails de auditoría «prevence-first».
• Platform UX: DevPortal 2. 0, Golden Paths, Runbooks as Code.

6) OKR anuales (ejemplo)

• KR1: p95 API < 1. 5c; KR2: MTTR <30 min; KR3: frecuencia de los lanzamientos prod ≥ 2/día.

• KR1: + 3 p.p. conversión de depósitos; KR2: Time-to-Wallet p95 ≤ 30с.

• KR1: 100% de las imágenes firmadas; KR2: 0 critical/high sin excepciones> 14 días; KR3: −20% de los gastos de infraestructura/1000 RPS.

7) Plan de entrega de 12 meses (plantilla)

8) Recursos y composición de equipos

Матрица навыков: Platform (K8s/IaC), Payments (PSP/KYC/crypto), Data (Kafka/DWH/DBT), Security (IAM/PAM/SAST/DAST), SRE (SLO/OTel), DevEx (Backstage/CLI).
Plan de capacidad: 70% son iniciativas de mapas, 20% son soporte/incidentes, 10% son estudios H3.
Vendedores: criterios Build vs Buy (TCO, lock-in, velocidad, control, cumplimiento).

9) Presupuesto y FinOps

Unit-economy: €/1000 RPS, €/TB-storage, €/deploy.
SLO presupuestados: límites por servicio/no espacio; alarmas automáticas en caso de desviaciones.
Optimizaciones: rightsizing, spot/suscripciones, almacenamiento en caché, almacenamiento en frío, off-peak batch.

10) Seguridad y cumplimiento en la hoja de ruta

Puerta de calidad incorporada: SBOM, firma, SAST/SCA, DAST, policy-as-code.
Paquetes PCI/GDPR: DPIA, tokenización, segmentación de zona PAN, registros auditados.
"No humans in prod' al final de Q3: PAM, grabación de sesiones, lanzamiento de" break-glass "bajo auditoría.

11) Observabilidad y SLO

Единые service level indicators: latency p50/p95/p99, error-rate, saturation.
Business SLI: Time-to-Wallet, conversión de depósitos, parte de las exenciones de KYC.
Error budget controla la velocidad de lanzamiento: agotado - enfoque en la fiabilidad.

12) Comunicaciones y gestión

Ceremonias: portafolio semanal (PM + EM + RM), Steering mensual, QBR trimestral.
Artefactos: dashboard combinado OKR/SLO/presupuesto, changelog soluciones estratégicas.
Transparencia: DevPortal con la hoja de ruta «viva» (Ahora/Siguiente/Later, propietarios).

13) Riesgos y dependencias (plantilla de registro)

14) RACI (ejemplo para «Lanzamientos Canarios»)

Responsible: Release Manager, SRE

Accountable: Head of Platform

Consulted: Security Lead, QA Lead

Informed: Product/Support/Compliance

15) Lanzamiento de la iniciativa: Definición de Ready/Done

DoR: propietario, métrica de destino, contrato/esquema, diagrama de diseño, lista de riesgos, plan de reversión.
DoD: las pruebas son verdes (unidad/contrato/integración/e2e), los dashboards/alertas están actualizados, el runbook está listo, el changelog está publicado, la métrica ha mejorado.

16) Experimentos, A/B y fichflags

Cualquier producto/modelo de riesgo - vía fichflag, con activación progresiva y telemetría de influencia (conversión, latencia, errores).
Los experimentos se registran en un catálogo: hipótesis → resultado → solución.

17) Política de Despricaciones y Tehdolg

Plan Sunset: tiempo de soporte ≥ 2 versiones menores, adaptadores de migración, fecha EOL.
Registro de Tehdolg: estimación de riesgo/valor, "sprints' trimestrales de deuda.

18) Lista de verificación de la madurez de la hoja de ruta

• Hay Visión y 5 pilares de estrategia.
• Cartera de 4 trimestres con OKR/SLO medibles.
• Reglas de Prioridad Única (RICE/WSJF).
• El registro de riesgos y las dependencias están actualizados semanalmente.
• RACI/propietarios asignados, recursos confirmados.
• El mapa está disponible en DevPortal y está sincronizado con el calendario de lanzamientos.
• La política de despricaciones y el registro de tehdolg están en curso.
• SLO/Error budget controlan el ritmo de los lanzamientos.
• FinOps-dashboard y gates de presupuesto incluidos.

19) Ejemplo «Now/Next/Later» (vista para DevPortal)

Now: IDP MVP, Observability 1. 0, PSP v1 (2 proveedores), SSO + MFA + KMS.
Next: Canary, Data 1. 0, Smart-routing, prueba DR, firmas de imágenes (enforce).
Later: Ring-deployments, auditoría PCI/GDPR, puntuación ML antifraude, DevPortal 2. 0.

Salida breve

La hoja de ruta tecnológica es un contrato vivo entre el negocio y la ingeniería. Conecta la estrategia con los pasos trimestrales ejecutables, mantiene el enfoque en los resultados (SLO, Time-to-Wallet, conversión), equilibra la velocidad y el riesgo, y crea transparencia: quién, qué, cuándo y por qué. Al seguir esta plantilla, se convierte la escala y el cumplimiento de las amenazas en una ventaja competitiva.