Dos empresas son golpeadas por la misma cepa de ransomware en la misma semana. Las mismas 200 horas de análisis forense, contención y recuperación. Una paga alrededor de $60.000 y tiene a los respondedores haciendo triaje en dos horas. La otra paga bastante más de $150.000, pasa el primer día negociando un contrato mientras los sistemas siguen caídos, y conoce a su equipo de respuesta por primera vez durante la peor semana en la historia de la compañía. La diferencia nunca fue el malware. Fue un contrato firmado meses antes, con calma — un retainer de respuesta a incidentes — y si cada empresa entendió lo que había comprado.
Si tu empresa tendría que buscar en Google una firma forense mientras los atacantes se mueven por tus recursos compartidos, este artículo es para ti. Explica qué compra realmente un retainer de IR, cómo contabilizar el bloque prepagado en tus propios libros, qué pasa con las horas que nunca usas, y qué le hace la "tarifa de pico" de emergencia a las horas que exceden el bloque. La contabilidad importa tanto como el contrato: un retainer mal contabilizado sobreestima silenciosamente tus activos todo el año, y luego te sorprende dos veces — una cuando expiran las horas no utilizadas, y otra cuando llega la factura del excedente.
Qué compra realmente un retainer
Un retainer de respuesta a incidentes es un bloque prepagado de horas de respondedor comprado antes de que algo esté en llamas. Pagas por adelantado un número definido de horas (o créditos) durante un plazo de 12 meses, y a cambio obtienes dos cosas que un cliente que llega sin cita no puede comprar: un SLA de triaje contractual, normalmente de una a cuatro horas, y una tarifa de consumo prenegociada para cada hora que trabaja la firma. Sin uno, la movilización se extiende a 24 o 72 horas mientras defines el alcance y contratas desde cero, y cada hora se factura a la tarifa de emergencia.
El mercado ofrece cinco formas de comprar aproximadamente la misma protección, y los precios publicados se agrupan de forma útil:
| Modelo | Lo que pagas | Referencia publicada |
|---|---|---|
| Bloque prepagado / retainer anual | Tarifa fija por un número determinado de horas | IBM X-Force lista $37.000–$105.000/año; registros del Reino Unido muestran niveles de 50/150/250 horas |
| Por hora retenida | Tarifa anual más una tarifa de consumo por hora utilizada | Las tarifas de consumo retenidas rondan $175–$400/hora |
| Por hora de emergencia, sin retainer | Tarifa premium, facturada por encargo | El trabajo de emergencia de primer nivel ronda $800–$1.500/hora |
| Suscripción MDR (monitorización más respuesta) | Suscripción anual por usuario | Arctic Wolf lista $44.000/año para hasta 100 usuarios |
| Equipo interno | Número de empleados por costo cargado | Cinco respondedores senior es el mínimo habitual para una cobertura real 24/7 |
Dos cosas destacan. Primero, la mayoría de las grandes firmas no publican ninguna tarifa por hora — Mandiant, CrowdStrike, Kroll y Unit 42 cotizan por encargo — así que las cifras anteriores son referencias de planificación, no cotizaciones. Consigue tus propias tres cifras por escrito: la tarifa de emergencia sin retainer, la tarifa de consumo bajo un retainer y la tarifa anual. Segundo, compara cualquiera de esos precios de retainer con lo que está en juego: el estudio Cost of a Data Breach 2025 de IBM sitúa la brecha media global en $4,44 millones, y la media en EE. UU. en un récord de $10,22 millones. Un retainer de cinco cifras es un error de redondeo frente a un solo incidente — que es exactamente por lo que su contabilidad merece más cuidado del que suele recibir un error de redondeo.
En tus libros, un retainer es un activo, no un gasto
Aquí está el error que cometen la mayoría de las pequeñas empresas: llega la factura del retainer de $40.000 en octubre, y el importe completo aterriza en el gasto de seguridad de ese mes. Octubre se ve terrible, los once meses siguientes se ven artificialmente limpios, y el balance nunca muestra lo que realmente posees — $40.000 de tiempo futuro de respondedor.
Un retainer prepagado es un gasto prepagado, un activo corriente. Pagaste efectivo por un beneficio económico que aún no has consumido: horas de tiempo experto disponibles a demanda durante el plazo del contrato. La compra mueve dinero entre cuentas de activo — efectivo abajo, retainer prepagado arriba — y no toca en absoluto la cuenta de resultados. Solo a medida que se consumen las horas (o expiran, más sobre esto abajo) el costo se convierte en gasto.
Esto no es pedantería. Registrar el retainer completo como gasto por adelantado subestima tus activos en el saldo no consumido cada mes del plazo, sobreestima el gasto de ese primer mes, y oculta el patrón de consumo que te dice si el retainer tuvo el tamaño correcto. Si renuevas anualmente, la distorsión se repite cada año, y el gasto en seguridad interanual se vuelve ilegible. Registra el activo, luego registra como gasto el consumo. Tu cierre de mes te lo agradecerá.
Consumir el bloque a medida que los incidentes lo agotan
Piensa en el bloque prepagado como piensas en un saldo bancario: cada incidente es un retiro, y el saldo restante es un activo que aún puedes gastar. Cada mes (o después de cada encargo), toma el estado de horas de tu firma de IR y mueve el valor consumido del activo prepagado al gasto de seguridad a la tarifa de consumo. Un encargo de contención de 22 horas consumido a $300 la hora es un gasto de $6.600 en el mes en que ocurrió el trabajo — no en el mes en que pagaste por adelantado.
Tres hábitos contables mantienen honesto el consumo:
- Concilia las horas como efectivo. El estado de horas de la firma es tu extracto bancario de esta cuenta. Registra el saldo inicial, las horas consumidas, la tarifa aplicada y el saldo final cada mes, incluso en meses tranquilos en que el asiento es "sin cambios". El mes en que dejas de conciliar es el mes en que se cuela una "evaluación" disputada de 14 horas.
- Acumula el trabajo realizado pero aún no facturado. Si los respondedores trabajaron la última semana del mes y el estado de horas llega a mediados del mes siguiente, registra una acumulación: debita gasto de seguridad, acredita una cuenta por pagar. De lo contrario, el mes del incidente se ve barato y el mes de la factura se ve caro, y ninguno refleja la realidad.
- Separa las horas consumidas del excedente en la cuenta de resultados. Las horas consumidas dentro del bloque y las horas de emergencia facturadas más allá son eventos económicos distintos a tarifas muy diferentes. Una sola cuenta de gasto puede contener ambas solo si nunca quieres responder "¿cuánto nos ahorró realmente el retainer?" — así que usa subcuentas o una disciplina de notas que te permita separarlas.
Las horas que nunca usas: expiración, arrastre y la baja
La cláusula más silenciosa del retainer es qué pasa con las horas que nunca consumes. La mayoría de los contratos elige uno de tres tratamientos: las horas expiran sin valor al final del plazo, una porción limitada se arrastra al siguiente plazo, o las horas no utilizadas se convierten en servicios proactivos como ejercicios de simulación o evaluaciones de compromiso. Los niveles registrados de IBM, por ejemplo, incluyen unidades de servicio proactivo junto con las horas de respuesta — una vía de conversión incorporada.
Sea lo que sea que diga tu contrato, tus libros deben coincidir con él. Si 40 de tus 100 horas expiran sin usar al final del plazo, el saldo prepagado restante ya no es un activo — es una pérdida. Dalas de baja: debita gasto de seguridad (o una cuenta de baja, si quieres que la expiración sea visible por separado), acredita el activo prepagado a cero. Omitir este asiento es cómo las cuentas prepagadas acumulan saldos fantasma que sobreestiman los activos durante años.
El lado del proveedor refleja exactamente el tuyo, lo cual vale la pena saber antes de negociar. En los libros de la firma, tu prepago figura como ingreso diferido — un pasivo, efectivo cobrado por trabajo aún no entregado — y las horas no utilizadas que expiran se convierten en ingreso de la firma al expirar, una categoría que los contadores llaman breakage. Tus horas expiradas son su margen. Eso no es una crítica; es palanca. Las firmas que se benefician del breakage a menudo lo negocian: pide límites de arrastre, conversión de horas no utilizadas en servicios proactivos, o un bloque más pequeño con una tarifa de recarga más barata en lugar de un bloque grande diseñado para expirar. Cada hora convertida en un ejercicio de simulación es una hora que sigue siendo un activo en lugar de convertirse en una baja.
La tarifa de pico: lo que realmente cuestan las horas que exceden el bloque
Ahora la cláusula que decide si el retainer se paga solo. Las horas dentro del bloque se facturan a la tarifa de consumo que negociaste con calma. Las horas más allá del bloque — y cada hora de una empresa sin ningún retainer — se facturan a la tarifa de emergencia, y la diferencia es toda la economía del producto.
Haz la división con tus propias cotizaciones, pero espera que la tarifa de emergencia quede aproximadamente entre un 50 y un 150 por ciento por encima de la tarifa de consumo en la mayoría de las firmas — el mismo despacho que consume tu bloque a $300 la hora puede facturar emergencias sin cita a $450 o $750 — mientras que los encargos de emergencia de primer nivel rondan los $800 a $1.500 la hora frente a tarifas de consumo de $175 a $400. El pico también se agrava con el momento: las noches, los fines de semana y el análisis forense especializado apilan primas sobre la tarifa de emergencia base.
La aritmética del punto de equilibrio es lo suficientemente simple para hacerla antes de firmar. Compara (horas esperadas × tarifa de emergencia) frente a (horas esperadas × tarifa de consumo) + tarifa del retainer para un incidente del tamaño que realmente planificas. Como la tarifa del retainer se acredita contra las horas usadas, el punto de equilibrio suele quedar bien dentro de un solo incidente serio: con una tarifa de consumo de $300 frente a una tarifa de emergencia de $750, un encargo de 100 horas cuesta $30.000 más la tarifa con un retainer frente a $75.000 sin él — la tarifa se paga sola antes del segundo incidente, y el SLA de triaje contractual es valor adicional. Dimensiona el bloque para el incidente que planificas, no para el incidente que esperas, y presupuesta una reserva de efectivo para el excedente que aún deberás si el grande supera el bloque. El retainer compra la tarifa. No limita el incidente.
Si vendes retainers, se aplica la imagen espejo
Muchos lectores están al otro lado de este contrato — MSPs, consultores de seguridad y firmas de TI que venden sus propias horas-bloque prepagadas. La contabilidad refleja la del comprador: el prepago de un cliente no es tu ingreso, es ingreso diferido, un pasivo por trabajo que debes. Reconoce el ingreso solo a medida que se entregan las horas, mantén el saldo no entregado en el balance (bajo ASC 606 es un pasivo de contrato), y reconoce el breakage como ingreso solo cuando las horas realmente expiran según los términos del contrato — no cuando te sientes seguro de que el cliente no las usará. Se aplica la misma disciplina de conciliación: si tu saldo diferido y el saldo prepagado de tu cliente no coinciden, uno de los dos está equivocado, y el registro de horas lo resuelve. Las firmas que reconocen el prepago completo como ingreso del primer día sobreestiman los ingresos, subestiman las obligaciones, y descubren la brecha durante la due diligence para una venta, cuando el comprador valora cada dólar de trabajo no entregado como un pasivo que hereda.
Cómo se ve el año en un libro mayor
Aquí tienes un año completo de retainer para un comprador: un bloque de $40.000 por 100 horas comprado en octubre, un incidente de 22 horas consumido a $300 la hora en febrero, 8 horas de excedente de emergencia a $750 en el mismo incidente (un pico del 150 por ciento sobre la tarifa de consumo), y el saldo no utilizado dado de baja cuando el plazo expira sin más incidentes. Si llevas tus libros en texto plano, la documentación cubre la configuración, y Fava convierte el saldo prepagado en un gráfico que puedes ver agotarse a lo largo del plazo:
2025-10-01 open Assets:Cash:Operating USD
2025-10-01 open Assets:Prepaid:IR-Retainer USD
2025-10-01 open Liabilities:Payable USD
2025-10-01 open Expenses:Security:Incident-Response USD
2025-10-01 * "Sentinel IR" "Annual retainer, 100 prepaid hours"
Assets:Prepaid:IR-Retainer 40000.00 USD
Assets:Cash:Operating -40000.00 USD
2026-02-14 * "Sentinel IR" "Containment, 22 hours drawn at 300.00 USD per hour"
Expenses:Security:Incident-Response 6600.00 USD
Assets:Prepaid:IR-Retainer -6600.00 USD
2026-02-20 * "Sentinel IR" "Emergency overage, 8 hours at 750.00 USD per hour"
Expenses:Security:Incident-Response 6000.00 USD
Liabilities:Payable -6000.00 USD
2026-03-02 * "Sentinel IR" "Overage invoice paid"
Liabilities:Payable 6000.00 USD
Assets:Cash:Operating -6000.00 USD
2026-09-30 * "Sentinel IR" "Term expired, unused hours written off"
Expenses:Security:Incident-Response 33400.00 USD
Assets:Prepaid:IR-Retainer -33400.00 USDLee la historia que cuentan las cuentas: $6.600 de respuesta a incidentes comprada a la tarifa de tiempo de calma, $6.000 comprada a la tarifa de pico, y $33.400 que no compraron nada más que la opción de llamar — el precio de un bloque sobredimensionado. Esa baja no es un argumento contra los retainers. Es un argumento para dimensionar el siguiente bloque a partir del historial de consumo de este año en lugar de la propuesta de la firma, y para negociar la conversión del remanente no utilizado en trabajo proactivo antes de que expire.
Una lista de verificación de cierre de mes para compradores de retainers
Pon esto en la lista de verificación de cierre de cada mes en que el retainer esté activo, y la versión de fin de año se escribe sola:
- Saca el estado de horas de la firma y concílialo con tu saldo prepagado — horas iniciales, horas consumidas, tarifa, horas finales — antes de registrar nada.
- Registra como gasto las horas consumidas en el mes en que ocurrió el trabajo, acumulando el trabajo no facturado al cierre del mes en lugar de esperar el estado.
- Mantén el excedente en su propia subcuenta para que la prima de pico siga visible junto al gasto a tarifa de consumo que superó.
- Pon en el calendario la fecha de expiración con un aviso de 90 días: es cuando programas el ejercicio de simulación, negocias el arrastre o ajustas la renovación — no la semana en que mueren las horas.
- En la renovación, divide el costo total de incidentes del año pasado (consumo + excedente + baja) entre las horas realmente utilizadas. Esa tarifa combinada, no la tarifa de consumo del folleto, es la cifra contra la que compite el siguiente bloque.
La empresa que paga $60.000 por sus 200 horas y la que paga $150.000 compraron contratos distintos — pero también llevaron libros distintos. Una trató el retainer como un activo que gestionar, conciliar, consumir y renovar con base en la evidencia. La otra lo registró como gasto en octubre y conoció la tarifa de pico como una sorpresa. Firma el retainer antes de necesitarlo, contabilízalo por lo que es, y deja que el historial de consumo — no la propuesta de venta — fije el bloque del próximo año.
