The average overrun across 1,471 projects was 27%. The dangerous tail was much larger. One project in six averaged 200% over budget and 70% late, so contingency must be modeled before procurement.
El sobrecosto promedio en 1,471 proyectos fue 27%. La cola peligrosa fue mucho mayor. Uno de cada seis promedió 200% sobre presupuesto y 70% de retraso, por lo que la contingencia debe modelarse antes de contratar.
GAO structures the estimate, COCOMO II adjusts effort and COSMIC measures functional size. Probability levels then convert uncertainty into a budget decision. None replaces the others.
La GAO estructura la estimación, COCOMO II ajusta el esfuerzo y COSMIC mide el tamaño funcional. Los niveles de probabilidad convierten la incertidumbre en una decisión presupuestaria. Ninguno sustituye a los demás.
A price per screen multiplied by a count is not enough. GAO connects scope, work structure, data, assumptions, sensitivity, risk, documentation, approval and updates. Reliability comes from the full chain.
Multiplicar pantallas por un precio no es suficiente. La GAO conecta alcance, estructura de trabajo, datos, supuestos, sensibilidad, riesgo, documentación, aprobación y actualizaciones. La confiabilidad proviene de toda la cadena.
Two systems can contain similar functional volume and still have different conversion costs. COCOMO II uses 22 factors to capture scale and effort conditions. Integration, reliability, complexity and team capability therefore belong in the estimate.
Dos sistemas pueden tener un volumen funcional parecido y costos de conversión distintos. COCOMO II utiliza 22 factores para captar condiciones de escala y esfuerzo. Integración, confiabilidad, complejidad y capacidad del equipo deben entrar en la estimación.
Large technology budgets do not guarantee executable plans. GAO found 8 of 11 critical systems without fully documented modernization plans. SICT should define each system's condition, destination and retirement path before seeking a portfolio price.
Los grandes presupuestos tecnológicos no garantizan planes ejecutables. La GAO encontró 8 de 11 sistemas críticos sin planes plenamente documentados. La SICT debe definir el estado, destino y retiro de cada sistema antes de buscar un precio del portafolio.
Old does not automatically mean first, and younger does not mean safe. GAO's critical systems ranged from 8 to 51 years old. The SICT age premise needs verification before it can support investment decisions.
Antiguo no significa automáticamente primero, y joven no significa seguro. Los sistemas críticos de la GAO tenían entre 8 y 51 años. La premisa de antigüedad de la SICT necesita verificación antes de sustentar decisiones de inversión.
Legacy technology can be a large portfolio condition rather than a handful of exceptions. A January 2025 UK review placed the average public body's legacy share at 28%. SICT needs its own census before deciding the number and sequence of modernization waves.
La tecnología heredada puede ser una condición amplia del portafolio y no un grupo de excepciones. Una revisión británica de enero de 2025 situó en 28% la proporción heredada del organismo público promedio. La SICT necesita su propio censo antes de decidir el número y secuencia de olas.
The seat of the UK Parliament underscores that legacy portfolio decisions must withstand public scrutiny.
La sede del Parlamento británico subraya que las decisiones sobre el portafolio legado deben resistir el escrutinio público.
The estimate will become a procurement record, not only a technical workbook. Mexico published a new federal procurement law on 16 April 2025. Each package must use the current legal and transitional rules.
La estimación se convertirá en un expediente de contratación, no solo en un libro técnico. México publicó una nueva ley federal de contratación el 16 de abril de 2025. Cada paquete debe usar las reglas legales y transitorias vigentes.
A reference is not comparable merely because it contains a price. Geography, year, currency and scope must match. Mexico's purchasing-power conversion factor moved from 7.73 in 2010 to 10.33 in 2025.
Una referencia no es comparable solo porque contenga un precio. Geografía, año, moneda y alcance deben coincidir. El factor de paridad de México pasó de 7.73 en 2010 a 10.33 en 2025.
Technology on the table makes clear that benchmark prices must map to defined, comparable deliverables.
La tecnología sobre la mesa deja claro que los precios de referencia deben corresponder a entregables definidos y comparables.
Public procurement design can be evaluated with evidence rather than habit. A 2026 Brazilian study compared contract designs using 2.87 million cleaned bid records from 2020 to 2024. SICT should likewise preserve normalized award and quotation data for calibration.
El diseño de contratación pública puede evaluarse con evidencia y no por costumbre. Un estudio brasileño de 2026 comparó diseños con 2.87 millones de registros depurados de ofertas de 2020 a 2024. La SICT también debe conservar datos normalizados de fallos y cotizaciones para calibrar.
The deliverable remains easy to count, but its effort cannot be flat. Proposed bands rise to 4 units for screens, 6 for reports and 8 for regulated cross-system rules. The wider catalog also includes interfaces, data, security controls and tests.
El entregable sigue siendo fácil de contar, pero su esfuerzo no puede ser uniforme. Las bandas propuestas llegan a 4 unidades para pantallas, 6 para reportes y 8 para reglas regulatorias entre sistemas. El catálogo amplio también incluye interfaces, datos, controles y pruebas.
The largest cost is often people, not licenses. One 2026 market guide estimates labor near 80% of system-development cost and links large quote differences to omitted nonfunctional requirements. Public pricing should validate this share locally rather than adopt it blindly.
El mayor costo suele ser el trabajo humano, no las licencias. Una guía de 2026 estima la mano de obra cerca de 80% del costo de desarrollo y relaciona grandes diferencias de cotización con requisitos no funcionales omitidos. La contratación pública debe validar localmente esa proporción.
COSMIC provides a standard functional ruler. It counts entries, exits, reads and writes, but does not independently price security, migration, organizational change or platform engineering. Rabobank's conversion formula also shows why local calibration matters.
COSMIC proporciona una regla normalizada para el tamaño funcional. Cuenta entradas, salidas, lecturas y escrituras, pero no valora por sí solo seguridad, migración, cambio organizacional ni plataforma. La fórmula de Rabobank también muestra por qué importa la calibración local.
By June 2025, 68 projects had received $1.03 billion, but only 11 had realized $13.5 million in savings. Another 24 expected $1.06 billion. Acceptance must distinguish forecasts from verified outcomes.
A junio de 2025, 68 proyectos habían recibido US$1.03 mil millones, pero solo 11 habían realizado US$13.5 millones en ahorros. Otros 24 esperaban US$1.06 mil millones. La aceptación debe separar pronósticos de resultados verificados.
The Treasury entrance grounds the question of who owns shared-service investment, obligations and benefits.
La entrada del Tesoro sitúa la pregunta de quién asume la inversión, las obligaciones y los beneficios de los servicios compartidos.
Six capabilities across 10 systems could mean 60 separate implementations. Building each once reduces the scenario to 6. Availability, incidents, capacity and exit portability still need funding, while four designated lead agencies illustrate one governance model.
Seis capacidades en 10 sistemas podrían implicar 60 implementaciones separadas. Construir cada una una vez reduce el escenario a 6. Disponibilidad, incidentes, capacidad y portabilidad aún requieren presupuesto, mientras cuatro agencias líderes ilustran un modelo de gobernanza.
The old code is not the asset that must survive. Its validated decisions are. Linking each rule to legal authority, an accountable owner, an affected process and an automated test makes acceptance inspectable.
El código antiguo no es el activo que debe sobrevivir. Lo son sus decisiones validadas. Vincular cada regla con fundamento jurídico, responsable, proceso y prueba automatizada hace inspeccionable la aceptación.
Moving records is not the same as preserving trustworthy history. The estimate must quantify tables, records, volume, defects, retention and reconciliation rules. Acceptance then checks record counts, control totals and field-level accuracy.
Mover registros no equivale a conservar una historia confiable. La estimación debe cuantificar tablas, registros, volumen, defectos, conservación y reglas de conciliación. La aceptación comprueba después conteos, totales de control y exactitud de campos.
Microservices are a trade, not a destination. Prime Video reported a 90% infrastructure-cost reduction after replacing one distributed monitoring architecture with a simpler monolithic implementation. Architecture must earn its operating complexity.
Los microservicios son una decisión de intercambio, no un destino. Prime Video informó una reducción de 90% en infraestructura al sustituir una arquitectura distribuida de monitoreo por una implementación monolítica más simple. La arquitectura debe justificar su complejidad operativa.
Security cannot be priced as a final certification. NIST organizes the work into preparation, protection, secure production and vulnerability response. Each group creates activities and evidence that must appear in the lifecycle budget.
La seguridad no puede valorarse como una certificación final. NIST organiza el trabajo en preparación, protección, producción segura y respuesta a vulnerabilidades. Cada grupo crea actividades y evidencia que deben aparecer en el presupuesto del ciclo de vida.
Security has a material downside that continues after launch. IBM reported average breach cost rising from $3.86 million in 2020 to $4.88 million in 2024. The modernization estimate should therefore fund prevention and response throughout ownership.
La seguridad tiene un costo potencial que continúa después del lanzamiento. IBM informó que el costo promedio de una brecha subió de US$3.86 millones en 2020 a US$4.88 millones en 2024. La estimación debe financiar prevención y respuesta durante toda la propiedad.
Mexico's digital service environment changed completely during the life of many legacy systems. Internet use rose from 5.08% in 2000 to 83.12% in 2024. Capacity, accessibility and nationwide support must therefore enter the modernization scope.
El entorno de servicios digitales de México cambió por completo durante la vida de muchos sistemas heredados. El uso de Internet subió de 5.08% en 2000 a 83.12% en 2024. Capacidad, accesibilidad y soporte nacional deben entrar en el alcance.
Mexico's secure-server density rose from 13.47 per million people in 2010 to 531.66 in 2024. That is nearly 40 times the starting level. The measure does not certify SICT security, but it shows how much the surrounding digital infrastructure has expanded.
La densidad de servidores seguros en México subió de 13.47 por millón de habitantes en 2010 a 531.66 en 2024. Es casi 40 veces el nivel inicial. La medida no certifica la seguridad de la SICT, pero muestra cuánto creció la infraestructura digital circundante.
Mexico's ICT service export share fell from 9.00% in 2000 to 2.43% in 2017, then recovered to 5.09% in 2025. This is not a modernization price index. It reinforces why market capacity and quotations must be refreshed rather than assumed stable.
La proporción de exportaciones de servicios TIC de México cayó de 9.00% en 2000 a 2.43% en 2017 y después se recuperó a 5.09% en 2025. No es un índice de precios de modernización. Refuerza la necesidad de actualizar capacidad de mercado y cotizaciones.
A point estimate pretends the future has one outcome. The simulator should build inputs from optimistic, most-likely and pessimistic values, then report P50, P80 and P90. A 2024 study of 7 infrastructure cases also recommended Monte Carlo simulation for lifecycle uncertainty.
Una estimación puntual finge que el futuro tiene un solo resultado. El simulador debe usar valores optimista, más probable y pesimista, y después reportar P50, P80 y P90. Un estudio de 2024 sobre 7 casos de infraestructura también recomendó simulación Monte Carlo para la incertidumbre del ciclo de vida.
A multi-year program cannot freeze its economic assumptions on award day. Mexican inflation varied from 1.70% to 6.67%, while the exchange rate moved from 12.64 to 19.24 MXN per USD between 2010 and 2025. Different cost classes need different adjustment rules.
Un programa multianual no puede congelar sus supuestos económicos el día del fallo. La inflación mexicana varió entre 1.70% y 6.67%, mientras el tipo pasó de 12.64 a 19.24 MXN por USD entre 2010 y 2025. Distintas clases de costo necesitan reglas distintas.
The calendar is part of the cost model. A 2026 start leaves four full delivery years before 2030, while a 2028 start leaves two. Completion also requires migrated users, reconciled data, disconnected interfaces and terminated supplier obligations.
El calendario forma parte del modelo de costos. Iniciar en 2026 deja cuatro años completos antes de 2030, mientras comenzar en 2028 deja dos. Terminar también exige usuarios migrados, datos conciliados, interfaces desconectadas y obligaciones concluidas.
A single deterministic price hides the tail risk that breaks public programs. Each method measures a different part of the modernization decision.
Key findings
By June 2025, 68 modernization projects had received $1.03 billion; only 11 had realized $13.5 million in savings, while 24 expected $1.06 billion. gao.gov
Across 1,471 IT projects, average cost overrun was 27%; one in six projects averaged 200% over budget and 70% schedule overrun. Harvard Business Review
Amazon Prime Video reported a 90% infrastructure-cost reduction after replacing one distributed monitoring architecture with a simpler monolithic implementation. virtualizationreview.com
A 2026 Brazilian procurement study compares contract designs using 2.87 million cleaned bid records from 2020–2024. aisel.aisnet.org
A federal policy paper projected shared-service savings of $21.0–$47.2 billion during 2015–2025 and $47 billion annually once fully utilized. assets.cio.gov
Mexico published a new federal public-procurement law on 16 April 2025, making current articles and transitional rules a recency-critical compliance issue. Diario Oficial de la Federación
Under a ten-system, six-capability scenario, one implementation per capability could avoid at most 54 of 60 separate implementations. doi.org
IBM reported global average breach costs rising from US$3.86 million in 2020 to US$4.88 million in 2024. IBM
GAO found that 8 of 11 critical federal legacy systems lacked fully documented modernization plans, amid annual federal IT spending exceeding $100 billion. gao.gov
Rabobank derived the calibration Y(cfsu) = −87 + 1.2X because benchmark data were unavailable for converting conventional function points to COSMIC size. cosmic-sizing.org
GAO identified 10 critical U.S. federal legacy systems ranging from 8 to 51 years old, demonstrating that age alone cannot establish priority. U.S. Government Accountability Office
A complete catalog should count eight families: screens, reports, processes, rules, interfaces, data objects, security controls and automated tests.
The argument
GAO requires 12 connected steps to make a cost estimate reliable.
Size is only the starting point because context changes the labor required.
GAO found 8 of 11 critical legacy systems lacked fully documented modernization plans.
Urgency must combine age with security, criticality, cost and feasibility.
A January 2025 UK review found 28% of systems in the average public body were considered legacy.
Mexico published its new federal procurement law on 16 April 2025.
This research is published in English and Spanish. Ver en español
La investigación detrás de esta presentación
Un precio determinista oculta el riesgo extremo que rompe programas públicos. Cada método mide una parte distinta de la decisión de modernización.
Hallazgos clave
A junio de 2025, 68 proyectos de modernización habían recibido US$1.03 mil millones; solo 11 habían generado ahorros de US$13.5 millones, mientras 24 esperaban US$1.06 mil millones. gao.gov
En 1,471 proyectos de TI, el sobrecosto promedio fue 27%; uno de cada seis promedió 200% sobre presupuesto y 70% de retraso. Harvard Business Review
Amazon Prime Video informó una reducción de 90% en infraestructura al sustituir una arquitectura distribuida de monitoreo por una implementación monolítica más simple. virtualizationreview.com
Un estudio brasileño de contratación pública de 2026 compara diseños contractuales mediante 2.87 millones de registros depurados de ofertas de 2020 a 2024. aisel.aisnet.org
Un documento federal de política proyectó ahorros por servicios compartidos de US$21.0 a US$47.2 mil millones entre 2015 y 2025, y US$47 mil millones anuales con adopción plena. assets.cio.gov
México publicó una nueva ley federal de contratación pública el 16 de abril de 2025, haciendo críticos los artículos y transitorios vigentes. Diario Oficial de la Federación
En un escenario de diez sistemas y seis capacidades, una implementación por capacidad evitaría como máximo 54 de 60 implementaciones separadas. doi.org
IBM informó que el costo global promedio de una brecha aumentó de 3.86 millones de dólares en 2020 a 4.88 millones en 2024. IBM
La GAO encontró que 8 de 11 sistemas federales heredados críticos carecían de planes de modernización plenamente documentados, mientras el gasto federal anual en TI superaba US$100 mil millones. gao.gov
Rabobank derivó la calibración Y(cfsu) = −87 + 1.2X porque no había datos de referencia para convertir puntos de función convencionales a tamaño COSMIC. cosmic-sizing.org
GAO identificó 10 sistemas federales críticos de entre 8 y 51 años, demostrando que la antigüedad por sí sola no establece prioridad. U.S. Government Accountability Office
Un catálogo completo debe contar ocho familias: pantallas, reportes, procesos, reglas, interfaces, objetos de datos, controles de seguridad y pruebas automatizadas.
El argumento
La GAO exige 12 pasos conectados para que una estimación de costos sea confiable.
El tamaño es solo el inicio porque el contexto cambia el trabajo requerido.
La GAO encontró que 8 de 11 sistemas heredados críticos carecían de planes plenamente documentados.
La urgencia debe combinar antigüedad con seguridad, criticidad, costo y factibilidad.
Una revisión británica de enero de 2025 encontró que 28% de los sistemas del organismo público promedio se consideraban heredados.
México publicó su nueva ley federal de contratación el 16 de abril de 2025.
Esta investigación se publica en inglés y español. Read in English
