Hace varios años que la SOX traspasó fronteras y hoy existen ya versiones de la misma normativa fuera de EEUU: existe la J-SOX (desde mediados del 2006) con el mismo propósito para Japón y la EuroSOX para la comunidad europea. Esta última cubre las directivas europeas de Auditoría Estatuaria y Representación de Informes de la Compañía.

La dirección de TI ocupa un importante papel a la hora de ayudar en el cumplimento de la SOX. Mediante el uso de mecanismos de control y gestión tales como los que proporcionan Committee of Sponsoring Organizations of the Treadway Commission (COSO),  Control Objectives for Information and related Technology (CoBIT) e Information Technology Infrastructure Library (ITIL) es posible implementar controles, identificar flujos, responsabilidades, …, que ayuden a monitorizar y mejorar dichos procesos de trabajo.

Dada la coyuntura actual, con una crisis financiera mundial y los numerosos casos de fraude como el de Bernard Madoff, que están apareciendo recientemente, es hora de reflexionar sobre qué está fallando. Lo que sí parece claro, es que disponer de estándares de control no és lo único necesario para garantizar el buen hacer de las empresas y el cumplimiento de las Leyes.

Esta nueva norma fija los estándares para una buena gestión de los procesos y decisiones empresariales relacionados con los servicios de información y comunicación que, suelen estar gestionados tanto por especialistas en SI/TI internos o ubicados en otras unidades de negocio de la organización, como por proveedores de servicios externos.

En esencia, todo lo que esta norma propone puede resumirse en tres propósitos fundamentales:

• Asegurar que, si la norma es seguida de manera adecuada, las partes implicadas (directivos, consultores, ingenieros, proveedores de hardware, auditores, etc.), puedan confiar en el gobierno corporativo de TI.
• Informar y orientar a los directores que controlan el uso de los SI/TI en su organización.
• Proporcionar una base para la evaluación objetiva por parte de la alta dirección de la gestión de las TI.

Marco de gobierno de TI

Así mismo, la norma alienta a adoptar un conjunto de medidas de mínimos para que la organización pueda obtener sus objetivos de TI. Dichos mínimos se traducen en 6 principios básicos:

1. El establecimiento de responsabilidades
2. Una buena planificación del apoyo a la mejora de la organización
3. La adquisición de bienes de TI adecuados
4. Calidad en el funcionamiento de los sistemas de TI
5. La garantía de conformidad legal o normativa
6. La implicación del factor humano así como el respeto al mismo

Cabe destacar dos de ellos.

Por una parte, la conformidad con el entorno legal es una necesidad creciente en el contexto de los SI/TI de organizaciones de cualquier tamaño, ya que existe una gran cantidad de legislación que regula el uso de la información, sus comunicaciones, etc. y que no puede obviarse.

Por otra parte, visto aquí parece obvio, pero el factor humano suele tratarse de manera muy tangencial en muchas estrategias empresariales y, sobre todo, de SI/TI. Por fortuna, esta norma, al igual que la ISO 27001 por ejemplo, lo incorpora como un pilar fundamental más.

Aunque esta norma nace inspirada en normas similares que el gobierno australiano viene impulsando desde hace tiempo, la ISO/IEC 38500:2008 es todavía muy nueva en su forma actual, así que habrá que esperar cierto tiempo para ver qué calado consigue. Estaremos expectantes.

Si bien la definición de los procesos de gestión de SI/TI se ha afrontado desde diferentes ángulos (COBIT, ISO 20000, ITIL, ISO 27001, …) se tiene la sensación generalizada de que es necesario algo más, en concreto, la función de Gobierno de TI. En este sentido, el IT Governance Global Status Report—2008 deja muy claro que el área de SI/TI todavía está lejos de poder constituirse en un departamento sólido respecto a otras funciones estructurales de toda organización. El estudio es una continuación a las encuestas del 2003 y el 2005 y da continuidad a las tendencias en TI en los cuatro últimos años.

A continuación resumimos algunos de los resultados extraídos:

• El 93% de los encuestados dijeron que las TI son de algo a muy importantes dentro de la estrategia corporativa, lo que representa un incremento del 6% respecto al 2005.
• Las TI están siempre presentes en la agenda del consejo directivo, de acuerdo a la opinión del 32% de los encuestados, en comparación con el 25% en el 2005.
• El 18% de los encuestados dijeron que el departamento de TI siempre informa a la empresa acerca de oportunidades potenciales de negocio, siendo sólo el 14% en el 2005.
• El conocimiento de la existencia del marco de trabajo de COBIT (Control de Objetivos de Información y Tecnología Relacionada) para el gobierno de las TI ya sobrepasa el 50%, lo que casi duplica el resultado de 2005.
• El uso de COBIT se ha pasado del 8% en 2005 al 16% actualmente.
• Como área de mejora preferente aparece el alineamiento estratégico. El 36% de los encuestados indicó que el alineamiento entre la estrategia de TI y la corporativa es mala o muy mala.

Estos resultados corresponden a encuestas realizadas a distintos perfiles (695 en 2005 y 749 en 2007) en empresas de diversos tamaños en todo el mundo (aproximadamente el 55% entre EEUU y Europa, a partes iguales), por lo que tiene una relevancia global. Si bien se aprecia una tendencia hacia el incremento en el nivel de madurez de àrea de TI en las organizaciones, también queda claro que aún hay mucho que mejorar.