El catálogo de servicios, o cómo mejorar el posicionamiento de SI/TI

28 01 2009

Desde hace un tiempo asistimos a un debate recurrente al respecto de qué papel deben jugar los SI/TI en una organización, de cuál ha de ser el rol del CIO, del alineamiento de los SI/TI con el negocio, etc. Lejos de converger en un punto de vista único y cerrar el debate con conclusiones consensuadas, el tema sigue en boga ya que, cuando menos, éste puede abordarse desde dos perspectivas bien diferentes que no siempre están en sintonía: la de la propia organización (dirección, usuarios, …) y la del área de SI/TI.

En este post vamos a revisar la segunda perspectiva. Así pues, una posible manera que el CIO tiene para abordar el citado alineamiento es reflexionar al respecto de cómo la organización percibe al área de SI/TI. Algunas visiones típicas incluyen las siguientes:

  • SI/TI es un agujero negro en el que se va una buena parte del gasto de la empresa.
  • SI/TI es un área muy estructurada, incluso burocratizada, con la que es complicado entenderse y obtener lo que se les requiere.
  • SI/TI es el área encargada de los ordenadores, las aplicaciones y que ejecuta proyectos. 
  • SI/TI proporciona asistencia a los usuarios. 
  • SI/TI es el área encargada de proporcionar servicios de tecnología e información para el soporte de los procesos de negocio del resto de las áreas de la organización.

Sin duda, esta última perspectiva es la más atractiva y beneficiosa para la organización, pero también lo es para el CIO y el área de SI/TI en general. Es más, el alineamiento con esta perspectiva dotará al área de SI/TI de más peso en la organización, de mayor presupuesto, etc. Por el contrario, las otras perspectivas son parciales y revelan una falta de enfoque común, lo que dificultará que el CIO pueda establecer un diálogo en el nivel apropiado con la dirección de la organización y, por ende, con los usuarios (sus clientes).

Así pues, si SI/TI adquiere la consideración de “conjunto de servicios al negocio”, el gasto en SI/TI tendrá una correspondencia con las funciones de negocio en las que la organización prefiera invertir, tornándose a su vez en una inversión. Cuando el área de SI/TI se alinea en torno a estos servicios, las aplicaciones redundantes, la superposición de proyectos, etc. se hacen más evidentes y las desviaciones pueden corregirse antes. Con ello se supera el clásico enfrentamiento SI/TI-negocio transformándose en una discusión de mayor nivel de madurez alrededor de los niveles de servicio, la optimización de costes, etc. 

Un elemento que puede facilitar este alineamiento es la construcción de un catálogo de servicios como fuente de información única y precisa para los usuarios sobre los servicios proporcionados, incluyendo los niveles de servicio que pueden esperarse. Cada servicio al negocio irá acompañado por la infraestructura y los servicios de SI/TI necesarios para su funcionamiento, así como los costes asociados, las capacidades requeridas, etc. Adicionalmente, esto debería complementarse (entre otras) con la figura del gestor del servicio, sobre el que recaerá la responsabilidad de garantizar que los SI/TI permitan satisfacer las expectativas de los usuarios para cada servicio de negocio concreto. 

Obviamente, este tipo de planteamientos suena bien, pero de todos es sabido lo complicado que puede ser llevarlos a la práctica, especialmente porque en muchas organizaciones, el área de SI/TI está demasiado centrada en la tecnología y no lo suficientemente en el negocio que debe sustentar. La aparición de ITIL puede ayudar en este sentido, pero a menudo su adopción se centra en la estabilización de los procesos de soporte al servicio, algo que siempre da quebraderos de cabeza al CIO por la presión que supone sobre el personal. En cambio, se suele reparar menos atención en la construcción del catálogo para dichos servicios, o en si los servicios son realmente los que el negocio precisa, o si están demasiado dirigidos por el aspecto tecnológico de los mismos, etc.

A este respecto en ITIL v2 el concepto de catálogo de servicios ya está presente como parte de las responsabilidades del proceso de gestión de niveles de servicio. Pero es en ITIL v3 donde se proporciona una perspectiva más amplia en este ámbito, incorporando además el concepto de cartera de servicios como núcleo central de la fase de estrategia del servicio, acompañado de los procesos de gestión de demanda de servicios y la gestión financiera. En este nuevo paradigma, el ciclo de vida de los servicios se inicia bajo el amparo de la perspectiva del negocio, es decir, de las demandas de servicios de SI/TI que éste tiene. Y el servicio se concibe teniendo en cuenta los recursos necesarios para ponerlo en práctica, los costes, el ROI, etc.

A la vista de lo anterior, queda claro que los servicios son para el negocio y que cualquier intento de presentarlos desde un punto de vista técnico no será bien recibido por la organización. Por el contrario, si el trabajo en la fase de estrategia (y posterior diseño) del servicio se hace correctamente, implicando a los diversos actores interesados de la organización y no sólo al área de SI/TI, los servicios que acaben formando parte del catálogo estarán mucho más alineados con el negocio en todos los sentidos.

Así pues, el CIO, como responsable del área de SI/TI, tiene en la elaboración de la cartera y el catálogo de servicios un arma muy valiosa para acercar el área de SI/TI tanto como sea posible al negocio, mejorar así su posicionamiento en la organización y, en última instancia, perseguir el tan manido alineamiento estratégico.





SOX, J-SOX, EuroSOX, … ¿qué más hace falta?

23 12 2008

A mediados del año 2002 se aprobaba en Estados Unidos la Ley Sarbanes Oxley, también conocida como SOX. Nacía de la voluntad de controlar a las empresas que cotizan en la bolsa de Nueva York y sus filiales, para evitar que los procesos con transacciones económicas pudieran ser alterados de forma fraudulenta, como había ocurrido en el famoso caso Enron.

Hace varios años que la SOX traspasó fronteras y hoy existen ya versiones de la misma normativa fuera de EEUU: existe la J-SOX (desde mediados del 2006) con el mismo propósito para Japón y la EuroSOX para la comunidad europea. Esta última cubre las directivas europeas de Auditoría Estatuaria y Representación de Informes de la Compañía.

La dirección de TI ocupa un importante papel a la hora de ayudar en el cumplimento de la SOX. Mediante el uso de mecanismos de control y gestión tales como los que proporcionan Committee of Sponsoring Organizations of the Treadway Commission (COSO),  Control Objectives for Information and related Technology (CoBIT) e Information Technology Infrastructure Library (ITIL) es posible implementar controles, identificar flujos, responsabilidades, …, que ayuden a monitorizar y mejorar dichos procesos de trabajo.

Dada la coyuntura actual, con una crisis financiera mundial y los numerosos casos de fraude como el de Bernard Madoff, que están apareciendo recientemente, es hora de reflexionar sobre qué está fallando. Lo que sí parece claro, es que disponer de estándares de control no és lo único necesario para garantizar el buen hacer de las empresas y el cumplimiento de las Leyes.





Dificultades en los planes de mejora de la gestión de servicios TI

7 11 2008

El ámbito de la gestión de servicios TI goza de un nivel de madurez creciente a nuestro alrededor. Sólo hay que ver la cantidad de artículos, actos, ofertas de trabajo, etc. que hacen alguna alusión a distintos marcos de referencia basados en buenas prácticas como ITIL o estándares como ISO/IEC 20000.

Esta popularidad, a veces impulsada desde la Administración, a veces desde las consultoras, a veces desde la prensa especializada, … está llevando a muchas organizaciones a plantearse la reorganización de su función de TI y a emprender un proceso de mejora de la gestión de los servicios TI que ofrecen internamente y/o a sus clientes. Si bien esto es muy loable, no hay que caer en la trampa de los “cantos de sirena” de las siglas, las certificaciones, las herramientas y muchos otros elementos que envuelven este ámbito de la consultoría.

ITIL, como conjunto de buenas prácticas, no es una metodología guiada que permita a una organización seguir un plan paso a paso que le lleve a la excelencia en la operación de sus procesos internos de TI. Tampoco se trata de un conjunto de herramientas que por sí mismas solventen los problemas de una gestión de TI deficiente. Por el contrario, ITIL recoge las “mejores prácticas” que han funcionado en diversos contextos a nivel internacional, pone orden en ellas, las sintetiza extrayendo los principios fundamentales y las facilita en forma de marco de referencia. A partir de aquí, en qué medida y de qué manera cada organización abrace ITIL, es una cuestión que depende de muchas variables.

Los beneficios de ITILizarse, si se admite el término, son numerosos y ampliamente aceptados. Sin embargo, también hay “peligros” que pueden desembocar en efectos contraproducentes para la organización si no se entiende bien que en el proceso debe prestarse especial importancia a aspectos como el compromiso de la Dirección, la concienciación global de la organización, el cambio cultural, etc.

Estos aspectos están bien recogidos en la literatura ITIL y vale la pena tenerlos en cuenta para no llevarse una sorpresa posteriormente. Sirva como muestra lo que se dice en el libro “Fundamentos de la Gestión de Servicios de TI. Basada en ITIL V3″ de itSMF

  • La introducción de ITIL en la organización puede llevar más tiempo y exigir un esfuerzo considerable, así como un cambio de cultura en la organización; un exceso de ambición puede dar lugar a frustración al ver que nunca se alcanzan los objetivos.
  • La calidad del servicio se puede resentir si las estructuras de procesos se convierten en un objetivo en sí mismas; en este caso, los procedimientos innecesarios o excesivamente complejos se consideran obstáculos burocráticos que hay que evitar en la medida de lo posible.
  • Los servicios de TI no mejorarán si no se tiene una idea clara de qué tienen que hacer los procesos, cuáles son los mejores indicadores de rendimiento y cómo se pueden controlar los procesos.
  • Las mejoras en la provisión de servicios y las reducciones de costes no serán apreciables si no existen datos de referencia y/o no se establecen los objetivos correctos.
  • El éxito de la implementación requiere la participación y el compromiso del personal a todos los niveles de la organización; encargar el desarrollo de las estructuras de procesos a un departamento especializado puede hacer que dicho departamento se sienta aislado y avance en una dirección distinta de la que desean otros departamentos.
  • Si la inversión realizada en formación y herramientas de soporte es insuficiente, no se sacará partido a los procesos y el servicio no mejorará; es posible que a corto plazo se necesiten más recursos y personal si la organización tiene un exceso de actividades rutinarias de Gestión de Servicios TI en las que no siga “Mejores Prácticas”.

Se nos ocurren algunos otros argumentos, pero los ya expresados son más que suficientes como para dejar clara la necesidad de ser muy prudente a la hora de abordar proyectos de este calado y, sobre todo, marcarse objetivos realistas. Ni que decir tiene que si el objetivo es además conseguir la certificación ISO/IEC 20000, los argumentos del primer punto de la lista anterior toman una especial relevancia si cabe.





ISO/IEC 38500 y el buen Gobierno de las TI

21 10 2008

El Gobierno de las TI (IT Governance) ya tiene una norma ISO asociada, la ISO/IEC 38500:2008Corporate governance of information technology” publicada el pasado junio y que viene a complementar el conjunto de estándares ISO que afectan a los sistemas y tecnologías de la información, e.g. ISO/IEC 27001, ISO/IEC 20000, etc.

Esta nueva norma fija los estándares para una buena gestión de los procesos y decisiones empresariales relacionados con los servicios de información y comunicación que, suelen estar gestionados tanto por especialistas en SI/TI internos o ubicados en otras unidades de negocio de la organización, como por proveedores de servicios externos.

En esencia, todo lo que esta norma propone puede resumirse en tres propósitos fundamentales:

  • Asegurar que, si la norma es seguida de manera adecuada, las partes implicadas (directivos, consultores, ingenieros, proveedores de hardware, auditores, etc.), puedan confiar en el gobierno corporativo de TI.
  • Informar y orientar a los directores que controlan el uso de los SI/TI en su organización.
  • Proporcionar una base para la evaluación objetiva por parte de la alta dirección de la gestión de las TI.
Marco de gobierno de TI

Marco de gobierno de TI

Así mismo, la norma alienta a adoptar un conjunto de medidas de mínimos para que la organización pueda obtener sus objetivos de TI. Dichos mínimos se traducen en 6 principios básicos:

  1. El establecimiento de responsabilidades
  2. Una buena planificación del apoyo a la mejora de la organización
  3. La adquisición de bienes de TI adecuados
  4. Calidad en el funcionamiento de los sistemas de TI
  5. La garantía de conformidad legal o normativa
  6. La implicación del factor humano así como el respeto al mismo

Cabe destacar dos de ellos.

Por una parte, la conformidad con el entorno legal es una necesidad creciente en el contexto de los SI/TI de organizaciones de cualquier tamaño, ya que existe una gran cantidad de legislación que regula el uso de la información, sus comunicaciones, etc. y que no puede obviarse.

Por otra parte, visto aquí parece obvio, pero el factor humano suele tratarse de manera muy tangencial en muchas estrategias empresariales y, sobre todo, de SI/TI. Por fortuna, esta norma, al igual que la ISO 27001 por ejemplo, lo incorpora como un pilar fundamental más.

Aunque esta norma nace inspirada en normas similares que el gobierno australiano viene impulsando desde hace tiempo, la ISO/IEC 38500:2008 es todavía muy nueva en su forma actual, así que habrá que esperar cierto tiempo para ver qué calado consigue. Estaremos expectantes.





IT Governance Global Status Report

15 10 2008

En los últimos tiempos el área de SI/TI está siendo inundada por diferentes normas y marcos de trabajo que tratan de llevar a la función informática hacia nuevas cotas de madurez, lo cuál está plenamente justificado dada la consabida importancia estratégica de esta área para las organizaciones.

Si bien la definición de los procesos de gestión de SI/TI se ha afrontado desde diferentes ángulos (COBIT, ISO 20000, ITIL, ISO 27001, …) se tiene la sensación generalizada de que es necesario algo más, en concreto, la función de Gobierno de TI. En este sentido, el IT Governance Global Status Report—2008 deja muy claro que el área de SI/TI todavía está lejos de poder constituirse en un departamento sólido respecto a otras funciones estructurales de toda organización. El estudio es una continuación a las encuestas del 2003 y el 2005 y da continuidad a las tendencias en TI en los cuatro últimos años.

A continuación resumimos algunos de los resultados extraídos:

  • El 93% de los encuestados dijeron que las TI son de algo a muy importantes dentro de la estrategia corporativa, lo que representa un incremento del 6% respecto al 2005.
  • Las TI están siempre presentes en la agenda del consejo directivo, de acuerdo a la opinión del 32% de los encuestados, en comparación con el 25% en el 2005.
  • El 18% de los encuestados dijeron que el departamento de TI siempre informa a la empresa acerca de oportunidades potenciales de negocio, siendo sólo el 14% en el 2005.
  • El conocimiento de la existencia del marco de trabajo de COBIT (Control de Objetivos de Información y Tecnología Relacionada) para el gobierno de las TI ya sobrepasa el 50%, lo que casi duplica el resultado de 2005.
  • El uso de COBIT se ha pasado del 8% en 2005 al 16% actualmente.
  • Como área de mejora preferente aparece el alineamiento estratégico. El 36% de los encuestados indicó que el alineamiento entre la estrategia de TI y la corporativa es mala o muy mala.

Estos resultados corresponden a encuestas realizadas a distintos perfiles (695 en 2005 y 749 en 2007) en empresas de diversos tamaños en todo el mundo (aproximadamente el 55% entre EEUU y Europa, a partes iguales), por lo que tiene una relevancia global. Si bien se aprecia una tendencia hacia el incremento en el nivel de madurez de àrea de TI en las organizaciones, también queda claro que aún hay mucho que mejorar.








Seguir

Get every new post delivered to your Inbox.