Confidencial — Serie C Readiness
Resumen Ejecutivo

Technical Due Diligence
Readiness Report

Evaluación integral del backend core de Sesame HR. Riesgos identificados, fortalezas documentadas y plan de acción concreto para afrontar la auditoría de Serie C con garantías.

Alcance Backend PHP / Symfony
Snapshot del código 9 Diciembre 2025 Última migración Doctrine: Version20251209115608
Fecha del informe 14 Febrero 2026 Cambios posteriores al snapshot no reflejados
Destinatarios CEO / Board / CTO
Veredicto B+ — Corregible en 4-6 semanas

La arquitectura del codebase sigue patrones que competidores con 4x más recursos también adoptaron. Los hallazgos encontrados son de limpieza operativa — resolubles en semanas, no meses — no problemas de diseño estructural.

— Conclusión del análisis sobre 36,965 archivos y 2M líneas de código

Qué es una due diligence técnica

Cuando un inversor de Serie C evalúa una empresa SaaS, contrata a una firma especializada (AKF Partners, madewithlove, Blue Hat Associates) para auditar el código y la infraestructura. Esta auditoría determina si la tecnología puede soportar el crecimiento que justifica la valoración.

Lo que buscan

Arquitectura escalable, código mantenible, seguridad robusta, procesos de desarrollo maduros, equipo sin dependencias críticas [1][2]

Lo que mata deals

Vulnerabilidades sin remediar, deuda técnica ingobernable, dependencia de 1-2 ingenieros, sin tests ni CI/CD, licencias open-source conflictivas [3][1]

Impacto en valoración

Hallazgos técnicos no resueltos dan al inversor palanca para negociar a la baja, imponer hitos de remediación, o condicionar desembolsos [4][5]

Cifras principales del análisis

49
Módulos de negocio independientes
(bounded contexts)
✓ Excelente — nivel enterprise
93.5%
De errores que ocurren
sin que nadie se entere
✗ Crítico — deal-breaker si no se corrige
4-6 sem
Para cerrar todos los
hallazgos críticos
✓ Remediación rápida y viable

Estado por área

Cada área evaluada según los criterios que firmas de due diligence como AKF Partners y Blue Hat Associates aplican en auditorías reales [1].

Arquitectura

49 bounded contexts con responsabilidad aislada. Los equipos pueden trabajar en paralelo sin conflictos, lo que permite escalar la organización de ingeniería sin desacelerar el desarrollo.

AKF Partners define la capacidad de escalar equipos sin pérdida de velocidad como criterio clave de due diligence [1]. El patrón CQRS complementa esta separación.

Seguridad

4 vectores de SQL injection activos y contraseñas que aparecen en texto legible en registros del sistema. Un auditor clasificaría estos hallazgos como deal-critical.

Según Black Duck, el 99% de las auditorías M&A encuentran vulnerabilidades [3]. El criterio de evaluación no es la ausencia de vulnerabilidades, sino la existencia de un proceso de remediación documentado.

Visibilidad de errores

El 93.5% de las excepciones del sistema no generan registro, alerta ni diagnóstico. Sin visibilidad de errores, los SLAs enterprise no son demostrables.

Las métricas DORA miden el MTTR como indicador de madurez operativa. Sin logging, el MTTR es impredecible [6].

Capacidad de crecimiento

53 operaciones cargan datos sin límite (findAll sin LIMIT). Con el volumen actual funcionan; al duplicar la base de clientes, estas queries intentarían cargar millones de registros en memoria simultáneamente.

Tradeoff: La corrección es mecánica pero requiere verificar cada punto de llamada. Sin corregirlo, el primer pico de carga expondría el problema en producción.

Documentación técnica

No existe documentación preparada para un auditor externo. Las decisiones arquitecturales no están registradas en ADRs. Sin documentación, el tiempo y coste de auditoría se incrementan.

Según madewithlove, la documentación reduce el tiempo de auditoría significativamente. Una auditoría de 4 semanas en vez de 2 duplica el coste y añade fricción al proceso [7].

Testing y calidad

5,492 archivos de test, quality gates automatizados con SonarQube, y validación pre-commit. Existe cultura de calidad con procesos automatizados.

AKF Partners establece un umbral de >75% de cobertura automatizada como indicador de madurez [1]. La presencia de quality gates en CI/CD es un indicador positivo relevante.

Fortalezas identificadas

Decisiones de diseño que facilitan escalar el equipo y el producto sin reescritura. Relevantes en contexto de auditoría técnica.

49 módulos independientes

Equipos pueden trabajar en paralelo sin conflictos. Preparado para crecer de 50 a 200 ingenieros.

CQRS: lectura y escritura separadas

Permite escalar rendimiento selectivamente. Patrón adoptado por Deel y empresas enterprise-grade.

Domain-Driven Design

El software refleja la estructura del negocio. Reduce errores de traducción entre producto y desarrollo.

9,641 clases blindadas (final)

26% del código protegido contra modificaciones accidentales. Indicador de disciplina de diseño.

28,670 datos inmutables (readonly)

Datos que no cambian por error una vez creados. PHP 8.1+ con prácticas modernas.

5,492 tests + SonarQube gates

Verificación automática continua. CI/CD con calidad controlada.

Eventos de dominio

Comunicación desacoplada entre módulos. Base para event sourcing y escalado futuro.

Value Objects

Conceptos de negocio tipados (Email, Phone, CompanyId). Previenen errores de datos en origen.

Qué preguntará el auditor Serie C

Basado en los frameworks de evaluación publicados por AKF Partners (200+ auditorías), Black Duck (1,700+ auditorías M&A) y el Software Improvement Group [1][3][5].

01

Vulnerabilidades de seguridad

"¿Han tenido un incidente de seguridad? ¿Tienen registro de accesos? ¿Qué protocolo de remediación siguen? ¿Con qué cadencia hacen pentesting?"

02

Observabilidad y SLAs

"Si algo falla, ¿cómo se enteran? ¿Cuál es el uptime real verificable? ¿Pueden garantizar SLAs a clientes enterprise T1/T2?"

03

Escalabilidad

"¿Qué pasa al duplicar la base de clientes? ¿El sistema aguanta? ¿Dónde está el cuello de botella? ¿Hay capacity planning?"

04

Dependencia de personas

"Si se van 2 ingenieros senior, ¿cuánto tarda un nuevo en ser productivo? ¿Hay documentación? ¿Cuál es el bus factor?" [8]

05

Deuda técnica gestionada

"¿Qué % del tiempo de ingeniería se dedica a deuda técnica? ¿Hay un tech debt register? ¿Se está reduciendo o acumulando?" El estándar es 12-25% [1].

06

Licencias open-source

"¿Han hecho análisis SCA? ¿Hay componentes con licencia copyleft (GPL/AGPL) en código propietario?" El 86% de auditorías M&A encuentran conflictos [3].

Cada hallazgo no resuelto da al inversor capacidad para negociar la valoración a la baja, o imponer condiciones como hitos de deuda técnica vinculados al desembolso. La remediación previa se estima en 4-6 semanas con 1 senior dedicado.

— Basado en datos de CohnReznick: hallazgos técnicos pueden generar ajustes de 15-25% en valoración [4]

Fuentes citadas en este resumen

  1. [1] AKF Partners — Technology Due Diligence Checklist. akfpartners.com
  2. [2] Blue Hat Associates — Technology Due Diligence for SaaS Investments. thinkbluehat.com
  3. [3] Black Duck (Synopsys) — OSSRA (Open Source Security and Risk Analysis). blackduck.com
  4. [4] CohnReznick — Strategic Imperative of Software Due Diligence in Tech Investments. cohnreznick.com
  5. [5] Software Improvement Group (SIG) — How Code Quality Impacts Software Valuation. softwareimprovementgroup.com
  6. [6] DORA — Software Delivery Performance Metrics. dora.dev
  7. [7] madewithlove — Technical Due Diligence for SaaS Startups and VCs. madewithlove.com
  8. [8] AKF Partners — Technical Due Diligence: Did We Get It Right. akfpartners.com

Radiografía

MétricaValorContexto
Archivos PHP36,965Monolito estructurado con DDD
Líneas de código~2MSin blancos ni comentarios
Bounded contexts49Alta separación de dominios
Entidades Doctrine943XML mapping
declare(strict_types=1)52.2%Objetivo: 100%
Clases final26.1%9,641 clases
Archivos de test5,49214.9% del codebase
Handlers > 200 líneas216 / 4,7494.5% necesitan split
@deprecated sin migrar659Código muerto activo
API públicav3 (OpenAPI 3.0)Spec validada en tests E2E

4 fases, 18 acciones, 4-6 semanas

Cada fase tiene resultado medible. Ordenadas por prioridad de impacto en due diligence. Recursos: 1 senior developer dedicado + code review de segundo senior.

Nota sobre tiempos: El equipo de Sesame ha adoptado Claude Code (AI coding assistant) en su workflow diario. Los tiempos estimados ya incorporan esta aceleración (~2-3x en tareas de refactoring y migración mecánica). Sin esta herramienta, los tiempos se multiplicarían proporcionalmente.

1
Semana 1-2 — Quick wins de seguridad
Seguridad: eliminar deal-breakers
1 senior7 acciones~8-10 días efectivos
01Eliminar print_r/var_dump (5 archivos)2h ★
02Migrar 4 SQL injections a prepare() (2 archivos)2-3d
03Escapar variables en comandos shell (2 archivos)1d
04Eliminar password concat en Sign3GClient1d
05Crear SecretAccessor service, centralizar env vars2d
06Hash cache keys que contienen secrets (HMAC)0.5d
07Mover tokens de URL paths a headers Authorization1d
Resultado: 0 hallazgos de seguridad críticos/altos. Los deal-breakers principales eliminados.
Tradeoff: Acción 02 (SQL injection) requiere tests de regresión en los reports afectados. Acción 04 necesita test de integración con Sign3G externo. Planificar ventana de testing.
2
Semana 2-3 — Observabilidad
Observabilidad: de 6.5% a >50% catch con logging
1 senior4 acciones~6-7 días efectivos
08Añadir logging a 92 catch vacíos3d
09Añadir logging a 64 catch silenciosos restantes2d
10Documentar catch intencionalmente silenciosos con @suppress1d
11PHPStan custom rule: prohibir catch sin log ni @suppress0.5d
Resultado: De 6.5% a >50% catch con logging. Governance automática para código nuevo. MTTR medible.
Tradeoff: Algunos catch vacíos pueden ser intencionales (retry logic, fallbacks). El paso 10 documenta estos casos para que el auditor no los marque como hallazgos.
3
Semana 3-4 — Escalabilidad
Escalabilidad: queries que escalan con el negocio
1 senior3 acciones~8-9 días efectivos
12setMaxResults() en 53 findAll/all sin límite5-7d
13Fix top 10 N+1 en endpoints API de mayor tráfico3d
14Directorio temporal único por proceso en PDF gen0.5d
Resultado: Queries paginadas que escalan con el negocio. Endpoints principales optimizados.
Tradeoff: Acción 12 es la más laboriosa. Cada findAll() necesita que su caller maneje paginación. Priorizar los 15 repositorios con más tráfico primero, resto en fase posterior.
4
Semana 4-5 — Documentación para auditor
Documentación: material preparado para la auditoría
1 tech lead4 documentos~5 días efectivos
15Architecture Decision Records (ADR): bounded contexts, CQRS, stack decisions
16Tech debt register: deuda conocida con timeline de remediación y owner
17Security practices doc: políticas, proceso de remediación, cadencia de pentesting
18Testing strategy doc: cobertura, quality gates, CI/CD pipeline description
Resultado: Auditor tiene material preparado antes de empezar. Transmite madurez organizacional. Reduce tiempo y coste de auditoría.
Tradeoff: La documentación debe ser honesta. Incluir la deuda conocida y el plan demuestra madurez. Ocultarla y que el auditor la encuentre demuestra lo contrario.

Comparativa competitiva estimada

Estimaciones basadas en estándares del sector para scaleups B2B SaaS en rango Serie B-C. Las notas de competidores son aproximaciones basadas en información pública de stacks y prácticas.

Arquitectura Seguridad Escalabilidad Observabilidad Documentación Actual (dic 2025) Post-fix (4-6 semanas)

Stacks verificados vía job postings, StackShare y blogs de ingeniería. Notas de calidad son estimaciones basadas en prácticas públicas.

Aspecto Sesame (actual) Sesame (post-fix) Factorial Personio HiBob BambooHR Deel
Stack PHP/Symfony DDD PHP/Symfony DDD Ruby on Rails Kotlin/Spring (ex-PHP) Kotlin/Scala PHP, Java Node.js/TS
Arquitectura A A B+ A A- B A
Seguridad C A- B+ A- B+ B A
Observabilidad D B+ B B+ B+ B A
Escalabilidad C+ B+ B A- B+ C+ A
Documentación D B+ C+ B+ B C+ B
Nota global B- B+/A- B B+ B+ B A-
Financiación Serie B+, camino a C $300M · $1B val. $772M · $8.5B val. $574M · $2.7B val. No pública $982M · $17.3B val.
Empleados (est.) ~370 ~1,400-2,200 ~2,020 ~1,000-2,000 ~1,600 ~5,000-8,700
Eng Blog No No Sí (Medium) Sí (Medium) No No

Nota: Personio migró de PHP a Kotlin/Spring Boot (microservicios). BambooHR usa PHP+Java. Factorial usa Ruby on Rails. Dato relevante: Sesame comparte stack con Personio (origen PHP con DDD) y BambooHR. Fuentes: Crunchbase, job postings, StackShare, blogs de ingeniería.


Inversión vs. Retorno

4-6
Semanas
1
Senior dedicado
B- → B+/A-
Salto de nota

La remediación previa protege la valoración objetivo. Sin ella, los hallazgos de seguridad dan al auditor palanca para renegociar condiciones.

Coste de no actuar

01

Negociación a la baja

Cada hallazgo crítico da palanca al inversor. Dextralabs/Flippa documentan ajustes de 15-25% en valoración por hallazgos de DD técnica [4].

02

Hitos condicionados

El inversor puede condicionar tramos de desembolso a remediación de hallazgos técnicos. Más lento, más caro, con presión.

03

Auditoría más larga

Sin documentación preparada, la auditoría tarda 4 semanas en vez de 2. Doble coste y más fricción en el proceso.

04

Percepción de inmadurez

Según AKF Partners, si el equipo no tiene documentada su deuda técnica, el auditor tiende a asumir que hay más debajo [8]. La deuda documentada invierte esa percepción.

La arquitectura está construida. Los fundamentos están en su sitio.

Los hallazgos pendientes son de limpieza operativa, observabilidad y documentación. Estimación: 4-6 semanas, 1 senior dedicado.

Fuentes y referencias

  1. [1] AKF Partners — Technology Due Diligence Checklist (200+ auditorías realizadas). akfpartners.com
  2. [2] Blue Hat Associates — Technology Due Diligence for SaaS Investments. thinkbluehat.com
  3. [3] Black Duck (Synopsys) — Open Source Security and Risk Analysis. 1,700+ auditorías M&A. blackduck.com
  4. [4] CohnReznick — Strategic Imperative of Software Due Diligence in Tech Investments. cohnreznick.com
  5. [5] Software Improvement Group (SIG) — How Code Quality Impacts Software Valuation. softwareimprovementgroup.com
  6. [6] DORA (Google) — Software Delivery Performance Metrics. dora.dev
  7. [7] madewithlove — Technical Due Diligence for SaaS Startups and VCs. madewithlove.com
  8. [8] AKF Partners — Technical Due Diligence: Did We Get It Right. akfpartners.com
  9. [9] FE International — SaaS Due Diligence: How to Evaluate a SaaS Business. feinternational.com
  10. [10] Beyond M&A — What Investors Miss in Tech Due Diligence. beyond-ma.com

Resumen para el financiero e inversores

Esta vista sintetiza el impacto financiero de los hallazgos técnicos y posiciona a Sesame frente al mercado. Datos verificados con fuentes públicas.

Sesame vs. competidores: contexto financiero

Empresa Financiación total Valoración Empleados Stack Nota técnica (est.)
Sesame HR Serie B+ (camino a C) ~370 PHP/Symfony DDD, CQRS B-B+/A-
Factorial $300M (7 rondas) $1B (2022) ~1,400-2,200 Ruby on Rails + React B
Personio $772M (8 rondas) $8.5B (2022) ~2,020 Kotlin/Spring Boot (ex-PHP) B+
HiBob $574M $2.7B (2023) ~1,000-2,000 Kotlin, Scala, Java B+
BambooHR No pública No pública ~1,600 PHP, Java + AngularJS B
Deel $982M $17.3B (2025) ~5,000-8,700 Node.js + TypeScript A-

Fuentes: Crunchbase, TechCrunch, PitchBook, job postings, StackShare. Notas técnicas estimadas basadas en stacks y prácticas publicadas.

Lo que dice la industria sobre deuda técnica y valoración

15-25%
Ajuste típico en valoración
por hallazgos en DD técnica
Riesgo evitable
20-40%
Del valor de un tech estate
puede ser deuda técnica
PwC UK, 2024
75%
De inversores evalúan
madurez digital como top 3
Sesame bien posicionado
25%
Mayor rentabilidad con
operaciones digitales maduras
Objetivo alcanzable

Fuentes: Dextralabs/Flippa (15-25% ajuste), PwC UK (20-40% tech debt), Dextralabs (75% inversores evalúan madurez digital, 25% mayor rentabilidad).

Narrativa para el inversor

El codebase presenta una arquitectura DDD con 49 bounded contexts y CQRS — patrones que competidores con 4x más recursos también adoptaron. La remediación de hallazgos (4-6 semanas, 1 senior) proyecta la nota técnica de B- a B+/A-, comparable a Factorial/Personio.

— Con un equipo de ~370 vs los 1,400-8,700 de competidores, el resultado arquitectural se ha logrado con 4-10x menos recursos.

Argumentos a favor

Arquitectura enterprise-grade con una fracción del equipo de competidores. DDD + CQRS = preparado para scale.

Eficiencia de capital: resultados técnicos comparables con ~10x menos financiación que Personio y ~3x menos que Factorial.

Remediación rápida y cuantificada: plan de 18 acciones con tiempos verificables. El equipo usa Claude Code (AI) para acelerar ~2-3x.

Deuda conocida y gestionada: hallazgos identificados, cuantificados y con plan de remediación documentado.

Riesgos a mitigar antes de la ronda

Seguridad: 4 SQL injection + passwords en texto plano. Deal-breaker hasta que se remedie (estimado: 1-2 semanas).

Observabilidad: 93.5% errores sin logging. Imposible garantizar SLAs enterprise sin ello (estimado: 1 semana).

Documentación: inexistente para auditor externo. Ralentiza y encarece la DD (estimado: 1 semana).

God classes: 3 archivos de 3,000-8,700 líneas. No es quick win pero debe estar en el tech debt register.

Coste de actuar vs. no actuar

Escenario Coste Impacto en valoración Riesgo
Remediar ANTES de la ronda 4-6 semanas · 1 senior Protege la valoración objetivo. Auditor encuentra codebase limpio y documentado. Bajo
Remediar DURANTE la ronda Mismas semanas + presión de timeline Auditor ya ha visto los hallazgos. Puede negociar hitos condicionados a remediación. Medio
No remediar $0 upfront Ajuste de 15-25% en valoración. Posibles cláusulas de earn-out vinculadas a remediación técnica. Alto

Referencia: Dextralabs y Flippa documentan ajustes de 15-25% en valoración por hallazgos de DD técnica. PwC UK identifica que la deuda técnica puede representar 20-40% del valor de un tech estate.

Eficiencia de capital: Sesame vs. mercado

~370
Empleados Sesame
~2,000
Media competidores
(Factorial, Personio, HiBob)
5.4x
Ratio eficiencia
(más resultado por empleado)
Eficiencia superior

Con ~5x menos empleados, el equipo ha construido una arquitectura (DDD, CQRS, 49 bounded contexts) técnicamente comparable a la de competidores que han levantado $300M-$772M. La ratio de resultado por recurso es un dato relevante para la evaluación de eficiencia de capital.

El caso Personio: de PHP a $8.5B

Personio comenzó con PHP (como Sesame) y migró a Kotlin/Spring Boot en microservicios. Su Serie E valorada en $8.5B indica que el stack de origen no fue determinante — la arquitectura y la capacidad de evolución pesaron más.

Personio hizo

Migrar de PHP monolito a Kotlin microservicios. Coste: años de ingeniería y 2,000+ empleados.

Sesame ya tiene

PHP moderno con DDD y 49 bounded contexts. La arquitectura ya está modularizada — una migración futura (si se necesita) sería context por context, no big-bang.

Fuentes financieras y de mercado

  1. Factorial — $120M Serie C (Oct 2022, $1B valuation). TechCrunch. $120M debt financing (Mar 2025). Crunchbase.
  2. Personio — $772M total, $8.5B valuation (Jun 2022). Personio press release. 115 layoffs (Jan 2025). Wikipedia.
  3. HiBob — $574M total, $2.7B valuation (Sep 2023). Calcalist, Crunchbase.
  4. BambooHR — $274M ARR (2024), 26,000 customers. Latka. StackShare para tech stack.
  5. Deel — $982M total, $17.3B valuation (Oct 2025). BusinessWire, UNLEASH.
  6. PwC UK — Demystifying Technical Debt for Deals (20-40% valor). pwc.co.uk
  7. Dextralabs/Flippa — DD adjustments 15-25%. dextralabs.com

Roadmap hacia la excelencia técnica (A+)

El análisis de las secciones anteriores sitúa a Sesame en un rango B+ / A−: arquitectura DDD con 49 bounded contexts, CQRS implementado, tipado estricto, sin hallazgos bloqueantes. Esta sección detalla qué haría falta para alcanzar un A+ — el punto en que la organización de ingeniería deja de ser «sólida» y pasa a ser un moat estratégico en sí misma. Cada iniciativa incluye esfuerzo estimado y fuentes verificables.

B+/A− vs A+: qué buscan los auditores

B+/A− significa «sin red flags, arquitectura sólida, equipo competente». A+ significa que la organización de ingeniería es en sí misma un activo estratégico — los sistemas, la cultura y la gobernanza permiten escalar de forma predecible y medible.

AKF Partners: escala 0-4 Likert, donde 4 = capacidades óptimas de escalado • Madewithlove: 60+ items en 5 pilares (140+ auditorías)
AspectoB+/A− (actual)A+ (objetivo)
Deuda técnicaConocida y documentadaCuantificada con burn-down rate, 15-20% de sprint asignado
Distribución de conocimientoDocumentación parcial, pairing puntualBus factor ≥3 en cada sistema crítico, runbooks por servicio
Decisiones de arquitecturaTomadas y registradas informalmenteRepositorio de ADR, buscable, referenciado en PRs
DependenciasRastreadas manualmentePipeline automatizado de upgrades, SLA por dependencia, fallbacks documentados
DORA metricsNo instrumentadasElite: múltiples deploys/día, lead time <1h, MTTR <1h

Iniciativas imprescindibles para A+

Alto impacto, esfuerzo contenido. Estas 6 iniciativas son lo primero que un auditor busca y lo que más rápido mueve la nota.

DORA Metrics + Dashboard

2-4 semanas

Instrumentar las 4 métricas DORA desde el CI/CD existente. Dashboard visible para toda la org. Los performers elite son 2x más propensos a exceder objetivos de rentabilidad (Google Cloud Research).

Fuente: dora.dev

Context Mapping (49 bounded contexts)

2-4 semanas

Mapa visual de los 49 bounded contexts, sus relaciones (upstream/downstream, conformist, anti-corruption layer, shared kernel) y patrones de integración. Quick win que demuestra intencionalidad arquitectónica.

SLI/SLO + Error Budgets

2-3 meses

Definir indicadores y objetivos de nivel de servicio para cada servicio orientado a cliente. Implementar política de error budgets: cuando se agota el presupuesto, feature work se detiene y se prioriza fiabilidad. Solo el 39% de las organizaciones usan SLOs para priorizar el trabajo de ingeniería.

Fuente: Grafana State of Observability 2025

SOC 2 Type II (iniciar)

9-12 meses total

Iniciar el proceso de certificación. Timeline: 9-12 meses (implementación + periodo de observación). Solo el 32% completa en menos de 9 meses. Coste estimado: 30K-75K€ (auditoría) + 50-75K€ (preparación). Prácticamente obligatorio para Serie C en B2B SaaS.

Fuente: Sprinto

ADR Repository + Tech Debt Quantification

2-3 meses

Repositorio de decisiones arquitectónicas buscable y versionado. Sistema de cuantificación de deuda técnica con burn-down rate y capacidad asignada. Fundamento para todo lo demás.

Fuente: Madewithlove — 12 Learnings (140+ audits)

Mutation Testing en CI

2-4 semanas

Integrar Infection PHP o Pest v3 en el pipeline. El Mutation Score Indicator (MSI) valida la calidad real de los tests, no solo cobertura. Target: >80% en dominios críticos. SymfonyOnline June 2025 dedicó sesión específica al tema.

Fuente: infection.github.io, pestphp.com

Consolidación: de competente a excepcional

Platform Engineering + Golden Paths

4-6 meses

Equipo dedicado de plataforma. Self-service: make new-service → repo + CI/CD + monitoring + DB + staging en <10 min. Portal interno tipo Backstage. El modelo de madurez CNCF define 4 niveles; objetivo: Level 3 (Scalable).

Fuente: CNCF Platform Engineering Maturity Model

Contract Testing (Pact)

2-3 meses

Pact PHP v10 (FFI bindings, HTTP + async messaging). Los contract tests reemplazan tests E2E costosos para comunicación entre los 49 bounded contexts. Demuestra que la arquitectura escala.

Fuente: pact-foundation/pact-php

Distributed Tracing (OpenTelemetry)

3-4 meses

Cada request trazable a través de los 49 bounded contexts con correlation IDs. Modelo de madurez AWS Observability: Stage 3-4 = correlación de señales, anomaly detection, alertas pre-incidente.

Fuente: AWS Observability Maturity Model

Security Pipeline Completo

2-3 meses

SAST + DAST + SCA + SBOM generation, todo bloqueando pipeline en findings críticos. CISA actualizó requisitos mínimos de SBOM en 2025. Security champions program: 1 persona security-minded por squad.

Fuente: CISA SBOM 2025

Developer Satisfaction Program

2-4 semanas

Encuestas trimestrales ligeras (5-10 min, patrón GitHub DevSat). Medir cognitive load, tiempo en «toil» vs trabajo creativo, fricción del entorno. El framework DX Core 4 une DORA + SPACE + DevEx en 4 dimensiones medibles.

Fuente: getdx.com, GitHub DevSat

Excelencia: moat técnico defendible

Event Sourcing en dominios críticos

6-12 meses

No los 49 bounded contexts, sino los de alto valor: billing, ciclo de vida de suscripción, dominios con requisito de auditoría. Event store con replay. Ecosistema PHP: prooph/event-store o Ecotone.

Chaos Engineering

2-3 meses

Empezar con game days manuales, progresar a chaos automatizado en staging. Documentar resultados. La existencia de experimentos de chaos documentados demuestra madurez operacional más allá de «tenemos monitoring».

Bug Bounty Program

6-8 sem setup

Plataforma (HackerOne/Bugcrowd): 15-50K€/año + payouts. Señal para inversores: «confiamos lo suficiente en nuestra seguridad para invitar testing adversarial». Requiere fundación de seguridad sólida (Tier 1-2 primero).

Data Mesh + ML-Ready Infra

9-15 meses

Equipos de dominio como dueños de sus data products (alineado con los 49 bounded contexts / DDD). Self-serve data infra, data contracts, data quality SLOs. Feature store para ML. Prerequisito: context mapping + event catalog.

Referencias verificables

  1. AKF Partners — Technical Due Diligence Checklists. akfpartners.com
  2. Madewithlove — 12 Learnings from 140+ Audits. madewithlove.com
  3. CNCF — Platform Engineering Maturity Model. cncf.io
  4. AWS — Observability Maturity Model. aws-observability.github.io
  5. DORA — Official Metrics Guide. dora.dev
  6. DX — Developer Experience Guide. getdx.com
  7. Infection PHP. infection.github.io
  8. Pact PHP. pact-foundation/pact-php
  9. CISASBOM Minimum Elements 2025. cisa.gov
  10. Sprinto — SOC 2 for SaaS. sprinto.com
  11. Grafana — State of Observability 2025. grafana.com

La plataforma como activo estratégico

Sesame v3 expone toda la plataforma HR vía MCP. Los clientes pueden conectar cualquier agente IA (Claude, GPT, Gemini, custom) a sus datos HR y construir experiencias propias. A febrero de 2026, ninguna plataforma HR competidora ofrece esta capacidad.

IA y valoración SaaS: los números

2-3x
Las empresas SaaS que integran IA se valoran 2-3 veces más que las que no lo hacen
25.8x
Múltiplo mediano de ingresos para empresas AI en rondas tardías (vs 6.1x en SaaS sin IA)
64%
De cada dólar invertido en venture capital en Q3 2025, 64 céntimos fueron a empresas de IA
+30%
Las rondas Serie C crecieron un 30% en tamaño respecto al año anterior
DatoValorFuente
AI-enabled SaaS vs tradicional2-3x mayores múltiplosEqvista
Late-stage AI revenue multiples~25.8x mediana (vs ~6.1x SaaS público)Aventis Advisors
Share de VC en AI64% (vs 56% en Q3 2024)SaaStock Q3 2025
Serie C deal size+30% YoYCarta Q3 2025
Platform companies vs standalone2-3x valoraciónJetSoftPro
Retención con integraciones activas+10pp anualAPIFuse

El protocolo que está conectando enterprise SaaS con IA

HitoFechaDetalle
Lanzamiento (Anthropic)Nov 2024Protocolo abierto para conectar agentes IA a datos y herramientas
OpenAI adopta MCPMar 2025Agents SDK, Responses API, ChatGPT desktop
Google DeepMindAbr 2025Soporte MCP para Gemini
Microsoft/GitHubMay 2025Steering committee en Build 2025
16,000+ serversNov 2025Spec v2: async, statelessness, registry
Linux FoundationDic 2025Anthropic dona MCP a la Agentic AI Foundation
Google managed serversDic 2025Drive, Calendar, Cloud como MCP servers

Quién ya expone MCP en enterprise

EmpresaImplementación
HubSpotPrimer CRM con MCP server en producción; deep research connector para ChatGPT
SalesforceMCP vía Agentforce; hosted servers para APIs específicas
GongMCP Gateway (inbound) + MCP Server (outbound) para revenue intelligence
GoogleManaged MCP servers: Drive, Calendar, Cloud
HR SaaSNinguna plataforma HR ha anunciado soporte MCP (feb 2026)

Fuentes: Anthropic, Pento, HubSpot, Salesforce, Gong, TechCrunch

Posición de cada competidor en IA

CompetidorEstrategia IA (2025-26)MadurezMCP
Deel
$17.3B val.
«AI Workforce»: 7 agentes especializados + custom agent builder + performance tracking Muy alta No
Personio
~$8.5B val.
AI Assistant (empleados + HR). People analytics en tiempo real. Performance summaries. Alta No
HiBob
$2.7B val.
Payslip co-pilot. FP&A AI. Predictive analytics 150+ métricas. Integración OpenAI. Alta No
Factorial
$1B val.
«Factorial One» agent. AI Meetings. Auto-scheduling. Payroll automation. Media No
BambooHR «Ask BambooHR» NL queries. Theme detection. Onboarding auto. Media No
Sesame v3 Plataforma completa vía MCP. Los clientes construyen sobre datos HR con sus propios agentes. No features IA aisladas: la plataforma es la API. Plataforma Sí ✓

Fuentes: Deel, Personio, HiBob, Factorial

Deel es el más agresivo en features IA propietarias. Pero todos los competidores siguen el mismo patrón: construir features IA cerradas sobre sus datos. Sesame v3 se diferencia en la capa de infraestructura: no ofrece un chatbot; ofrece el backend completo para que cualquier agente IA opere sobre datos HR.

De herramienta HR a infraestructura de datos

Cuando los agentes IA de un cliente dependen de Sesame como capa de datos HR — consultas de nómina, workflows de vacaciones, analytics de equipo — el coste de cambio pasa de «migrar datos» a «reescribir integraciones de agentes». Es el mismo efecto que hace que Stripe o Twilio sean difíciles de reemplazar una vez integrados.

+10pp
Los clientes que usan integraciones activas renuevan 10 puntos porcentuales más que los que no (APIFuse)
80%
El 80% del software enterprise en 2025 se consume a través de ecosistemas y plataformas, no como producto aislado (Gartner)
106%
La mediana de NRR en SaaS es 106% — las mejores empresas superan el 120% (High Alpha)

Tres escenarios de posicionamiento ante inversores

Cada escenario acumula lo anterior. El escenario 1 refleja la posición actual; el 2 ejecuta el plan de remediación base (18 acciones, 4-6 semanas); el 3 completa el roadmap A+ incluyendo certificaciones y plataforma interna (+12 meses).

Escenario 1: Posición actual

HOY — Sesame v3 + MCP

Sesame ya tiene v3 con MCP. Ningún competidor HR lo ofrece. La arquitectura DDD con 49 bounded contexts soporta el modelo. Nota técnica actual: B− (pre-remediación).

Narrativa inversores

First-mover en HR + MCP. Plataforma abierta frente a competidores cerrados. Arquitectura DDD que permite escalar equipos. Data propietario multi-país para alimentar agentes. Posición junto a HubSpot, Salesforce, Gong en la liga de plataformas AI-accessible.

Riesgo: bajo. El activo ya existe.

Escenario 2: Remediación base ejecutada

+4-6 SEMANAS — Plan de Acción (18 acciones, 1 senior)

Todo lo anterior más las 18 acciones del plan de remediación: 4 SQL injection corregidos, passwords hasheados, catch con logging (>50%), queries paginadas, top 10 N+1 resueltos, ADRs documentados, tech debt register.

Narrativa inversores

Todo lo del Escenario 1, más: 0 hallazgos de seguridad críticos, observabilidad operativa, documentación preparada para auditor, deuda técnica conocida y cuantificada con plan de remediación. La DD pasa limpia: nota B+/A− sin hallazgos bloqueantes.

Esfuerzo: 4-6 semanas, 1 senior dedicado. Sin contrataciones extra.

Escenario 3: Excelencia técnica A+ + plataforma

+12 MESES MÍNIMO — Roadmap A+ completo (Tier 1 + 2 + 3)

Todo lo del Escenario 2, más el roadmap A+ completo: DORA metrics con dashboard, context mapping de los 49 bounded contexts, SLI/SLO + error budgets, mutation testing en CI, SOC 2 Type II obtenido (9-12 meses de proceso), platform engineering con self-service, contract testing, distributed tracing con OpenTelemetry, event sourcing en dominios críticos.

Narrativa inversores

Plataforma HR con MCP (única en el vertical) + organización de ingeniería A+ verificable: métricas DORA elite, SOC 2 certificado, gobernanza arquitectónica, developer experience medida. El moat es doble: los clientes dependen de la plataforma como infraestructura IA (coste de cambio = reescribir integraciones de agentes), y la calidad de ingeniería hace predecible la ejecución del roadmap. Posición para negociar múltiplos de plataforma AI, no de vertical HR.

Esfuerzo: +12 meses (certificaciones tipo SOC 2 requieren 9-12 meses). Resultado: A+ en DD + premium de plataforma AI-native.

Referencias verificables

  1. Carta — SaaS Industry Spotlight Q3 2025. carta.com
  2. Eqvista — AI vs SaaS Valuation Multiples. eqvista.com
  3. Aventis Advisors — AI Valuation Multiples 2025. aventis-advisors.com
  4. SaaStock — Q3 2025 Funding Recap. saastock.com
  5. Anthropic — Introducing MCP. anthropic.com
  6. Pento — A Year of MCP. pento.ai
  7. HubSpot MCP Server. developers.hubspot.com
  8. Salesforce MCP. developer.salesforce.com
  9. Gong MCP. gong.io
  10. TechCrunch — Google MCP Servers. techcrunch.com
  11. Deel AI Workforce. deel.com
  12. Personio HUG 2025. personio.com
  13. HiBob + OpenAI. hibob.com
  14. Factorial AI. factorialhr.com
  15. High Alpha — NRR 2025. highalpha.com
  16. APIFuse — Retention with Integrations. apifuse.io
  17. JetSoftPro — Platform Thinking. jetsoftpro.com
  18. RSM US — AI DD in PE. rsmus.com