Plan de gestión de sistemas: cómo elaborar el registro de sistemas informáticos, las responsabilidades y el calendario anual

Un plan de gestión de sistemas describe cómo se debe operar, desarrollar, controlar y, finalmente, retirar un sistema informático. Un registro de sistemas informáticos es la lista consolidada de los sistemas de la empresa, sus propietarios, proveedores, contenido de información y dependencias importantes. Juntos, facilitan la distribución de responsabilidades, la priorización de medidas y el control del panorama de sistemas.

¿Qué debe incluir un plan de gestión de sistemas?

Un plan de gestión útil vincula las necesidades de la organización con la operativa informática diaria. Debe ser posible realizar su seguimiento sin convertirse en un informe extenso que nadie utiliza. El contenido puede variar entre una empresa pequeña con diez servicios SaaS y una organización con sistemas empresariales de desarrollo propio.

¿Quién es el propietario del sistema y cuál es la diferencia con el gestor del sistema?

El propietario del sistema es normalmente el rol designado por la organización para decidir sobre los objetivos, prioridades y recursos del sistema. El gestor del sistema coordina habitualmente el trabajo práctico, la documentación y el seguimiento. La operativa de TI gestiona las tareas técnicas según la distribución de responsabilidades vigente en la organización o el proveedor.

Estos son roles organizativos, no una división jurídica universal. Una empresa pequeña puede combinar varias tareas en la misma persona, pero las decisiones, la ejecución práctica y el control deben seguir siendo claros. En caso de tratamiento de datos personales, es además importante distinguir entre un propietario del sistema designado internamente y el rol jurídico de responsable del tratamiento según el RGPD.

Crear un registro de sistemas informáticos paso a paso

1. Inventariar los sistemas utilizados realmente

Incluya sistemas empresariales, sistemas contables, herramientas de RR. HH., suscripciones SaaS, plataformas de integración y sistemas utilizados por equipos individuales. Busque duplicados y servicios que carezcan de un responsable de pedido claro. Registre también los sistemas que están en proceso de retirada.

2. Documentar la información básica

Introduzca el nombre del sistema, propósito, proceso principal, proveedor, propietario del sistema, usuarios principales, propietario del contrato, coste, duración del contrato y vía de contacto para incidentes. Es recomendable indicar dónde se guardan los contratos asociados y la documentación técnica, sin almacenar contraseñas u otros secretos en el registro.

3. Identificar información y dependencias

Anote qué volúmenes de información gestiona el sistema, integraciones importantes, flujos de datos y procesos empresariales críticos. Realice un seguimiento de la confidencialidad, integridad y disponibilidad. Un inventario se vuelve especialmente valioso cuando los mismos datos pueden utilizarse también en evaluaciones de riesgos y planificación de continuidad.

4. Distribuir responsabilidades con una matriz RACI simple

Defina quién es responsable de la decisión, quién realiza una actividad, quién debe ser consultado y quién debe ser informado. Vincule roles a, por ejemplo, aprobación de cambios, control de permisos, gestión de incidentes y renovación de contratos con proveedores.

5. Priorizar riesgos y mejoras

Evalúe la consecuencia y probabilidad de las interrupciones relevantes. Documente el propietario del riesgo, las contramedidas, las decisiones y la fecha de seguimiento. Evite utilizar una puntuación única como sustituto automático de la evaluación de la organización.

6. Crear un ciclo anual

Planifique comprobaciones periódicas de permisos de usuario, capacidad de restauración, resultados de proveedores, costes, licencias, casos de soporte y mejoras decididas. Ajuste la frecuencia según la importancia y el perfil de riesgo de cada sistema.

7. Revisar el ciclo de vida y la retirada

Cuando un sistema va a ser sustituido, se requieren decisiones claras sobre la exportación de datos, migración de datos, cierre de permisos, eliminación, archivado y finalización del contrato. Compruebe especialmente que los datos personales y la información contable se gestionen según las normas aplicables correspondientes.

Ejemplo: tres sistemas en una empresa pequeña

Supongamos que la empresa utiliza un sistema contable, un sistema de personal y un servicio de asistencia externa (helpdesk). El director financiero puede ser designado propietario del sistema contable, el director de RR. HH. del sistema de personal y el responsable de TI del sistema de asistencia. La función de TI puede realizar simultáneamente comprobaciones técnicas conjuntas. Para cada sistema se registran el proveedor, la renovación del contrato, la clasificación de la información, el riesgo más importante y la siguiente comprobación.

El ejemplo muestra por qué un registro de sistemas y un plan de gestión cumplen funciones diferentes: el registro muestra qué existe, mientras que el plan describe qué debe hacerse, por quién y cuándo.

¿Es un registro de sistemas informáticos lo mismo que el registro de actividades de tratamiento del RGPD?

No. Un registro de sistemas informáticos describe sistemas y recursos técnicos u organizativos. Las reglas del artículo 30 del RGPD tratan, en cambio, sobre un registro de las actividades de tratamiento de datos personales y requieren datos específicos, entre otros, fines, categorías de interesados y destinatarios donde los requisitos sean aplicables. Un sistema informático puede soportar varios tratamientos de datos personales, y un tratamiento puede incluir varios sistemas. Por lo tanto, el registro de actividades de tratamiento debe evaluarse por separado.

Lea nuestra guía existente sobre el registro de actividades de tratamiento según el artículo 30 del RGPD para obtener el contenido correcto de ese documento.

Lista de verificación para la gestión de sistemas

• Todos los sistemas informáticos importantes están incluidos en el registro.
• El propietario del sistema, el responsable operativo y el proveedor están identificados.
• El propósito del sistema, sus dependencias y los volúmenes de información están descritos.
• Los riesgos, cambios y decisiones están documentados.
• La revisión de permisos y las rutinas de incidentes tienen responsables designados.
• Las fechas de licencias y contratos se pueden supervisar.
• El ciclo anual y los resultados de control son objeto de seguimiento.
• La retirada y la exportación de datos están planificadas para los sistemas que van a ser sustituidos.

Errores comunes que se deben evitar

• Sistemas sin propietario: Nadie tiene el mandato para priorizar las mejoras.
• Registro sin rutina de actualización: La información queda obsoleta rápidamente.
• Confusión de roles: Se asume automáticamente que el soporte informático asume toda la responsabilidad de la empresa y de la protección de datos.
• Servicios SaaS olvidados: Se pasan por alto costes, integraciones y lugares de almacenamiento externos.
• Sin plan de salida: No está claro cómo se mueven o eliminan los datos cuando finalizan los contratos.

Preguntas frecuentes sobre el plan de gestión de sistemas

¿Deben todas las empresas tener un plan de gestión de sistemas?

No existe un requisito legal general que obligue a cada empresa a tener específicamente un documento llamado "plan de gestión de sistemas". Ciertas actividades pueden estar sujetas a otros requisitos vinculantes sobre gobernanza, seguridad, documentación y control. Por lo tanto, el plan es una herramienta de gestión práctica que puede ayudar a la organización a cumplir con sus obligaciones pertinentes.

¿Cuál es la diferencia entre un registro de sistemas informáticos y un registro de licencias?

El registro de sistemas describe el propósito, propietario, gestión de la información y ciclo de vida del sistema. El registro de licencias se centra en las suscripciones, número de licencias, costes y fechas de renovación. Los registros pueden vincularse entre sí.

¿Con qué frecuencia se debe actualizar el plan de gestión de sistemas?

Determine una revisión periódica basada en el riesgo y la tasa de cambio. Actualice también tras cambios importantes en los sistemas, incidentes, cambios organizativos y cambios importantes en los proveedores.

¿Puede la misma persona ser propietario del sistema y gestor del sistema?

Sí, en organizaciones más pequeñas se pueden combinar roles. Aun así, documente claramente quién toma las decisiones, realiza las comprobaciones y es responsable de que se subsanen las deficiencias.

Guías y plantillas relacionadas

Profundice en el trabajo mediante nuestras guías sobre clasificación de información, revisión de permisos, plan de gestión de incidentes y salida de SaaS y migración de datos. Consulte también las plantillas para contratos informáticos y servicios digitales.

Fuentes y lecturas adicionales

• IMY: Llevar un registro de las actividades de tratamiento de datos personales
• IMY: Gestión de datos personales por parte de las empresas
• Informationssäkerhet.se: Apoyo metodológico para el trabajo sistemático de seguridad de la información

Última verificación de hechos: 13 de octubre de 2026. El artículo proporciona orientación operativa general y no constituye asesoramiento jurídico. Verifique si su actividad está sujeta a requisitos sectoriales especiales, contratos o normativas.