ISO/IEC 38500 y el buen Gobierno de las TI

21 10 2008

El Gobierno de las TI (IT Governance) ya tiene una norma ISO asociada, la ISO/IEC 38500:2008Corporate governance of information technology” publicada el pasado junio y que viene a complementar el conjunto de estándares ISO que afectan a los sistemas y tecnologías de la información, e.g. ISO/IEC 27001, ISO/IEC 20000, etc.

Esta nueva norma fija los estándares para una buena gestión de los procesos y decisiones empresariales relacionados con los servicios de información y comunicación que, suelen estar gestionados tanto por especialistas en SI/TI internos o ubicados en otras unidades de negocio de la organización, como por proveedores de servicios externos.

En esencia, todo lo que esta norma propone puede resumirse en tres propósitos fundamentales:

  • Asegurar que, si la norma es seguida de manera adecuada, las partes implicadas (directivos, consultores, ingenieros, proveedores de hardware, auditores, etc.), puedan confiar en el gobierno corporativo de TI.
  • Informar y orientar a los directores que controlan el uso de los SI/TI en su organización.
  • Proporcionar una base para la evaluación objetiva por parte de la alta dirección de la gestión de las TI.
Marco de gobierno de TI

Marco de gobierno de TI

Así mismo, la norma alienta a adoptar un conjunto de medidas de mínimos para que la organización pueda obtener sus objetivos de TI. Dichos mínimos se traducen en 6 principios básicos:

  1. El establecimiento de responsabilidades
  2. Una buena planificación del apoyo a la mejora de la organización
  3. La adquisición de bienes de TI adecuados
  4. Calidad en el funcionamiento de los sistemas de TI
  5. La garantía de conformidad legal o normativa
  6. La implicación del factor humano así como el respeto al mismo

Cabe destacar dos de ellos.

Por una parte, la conformidad con el entorno legal es una necesidad creciente en el contexto de los SI/TI de organizaciones de cualquier tamaño, ya que existe una gran cantidad de legislación que regula el uso de la información, sus comunicaciones, etc. y que no puede obviarse.

Por otra parte, visto aquí parece obvio, pero el factor humano suele tratarse de manera muy tangencial en muchas estrategias empresariales y, sobre todo, de SI/TI. Por fortuna, esta norma, al igual que la ISO 27001 por ejemplo, lo incorpora como un pilar fundamental más.

Aunque esta norma nace inspirada en normas similares que el gobierno australiano viene impulsando desde hace tiempo, la ISO/IEC 38500:2008 es todavía muy nueva en su forma actual, así que habrá que esperar cierto tiempo para ver qué calado consigue. Estaremos expectantes.





IT Governance Global Status Report

15 10 2008

En los últimos tiempos el área de SI/TI está siendo inundada por diferentes normas y marcos de trabajo que tratan de llevar a la función informática hacia nuevas cotas de madurez, lo cuál está plenamente justificado dada la consabida importancia estratégica de esta área para las organizaciones.

Si bien la definición de los procesos de gestión de SI/TI se ha afrontado desde diferentes ángulos (COBIT, ISO 20000, ITIL, ISO 27001, …) se tiene la sensación generalizada de que es necesario algo más, en concreto, la función de Gobierno de TI. En este sentido, el IT Governance Global Status Report—2008 deja muy claro que el área de SI/TI todavía está lejos de poder constituirse en un departamento sólido respecto a otras funciones estructurales de toda organización. El estudio es una continuación a las encuestas del 2003 y el 2005 y da continuidad a las tendencias en TI en los cuatro últimos años.

A continuación resumimos algunos de los resultados extraídos:

  • El 93% de los encuestados dijeron que las TI son de algo a muy importantes dentro de la estrategia corporativa, lo que representa un incremento del 6% respecto al 2005.
  • Las TI están siempre presentes en la agenda del consejo directivo, de acuerdo a la opinión del 32% de los encuestados, en comparación con el 25% en el 2005.
  • El 18% de los encuestados dijeron que el departamento de TI siempre informa a la empresa acerca de oportunidades potenciales de negocio, siendo sólo el 14% en el 2005.
  • El conocimiento de la existencia del marco de trabajo de COBIT (Control de Objetivos de Información y Tecnología Relacionada) para el gobierno de las TI ya sobrepasa el 50%, lo que casi duplica el resultado de 2005.
  • El uso de COBIT se ha pasado del 8% en 2005 al 16% actualmente.
  • Como área de mejora preferente aparece el alineamiento estratégico. El 36% de los encuestados indicó que el alineamiento entre la estrategia de TI y la corporativa es mala o muy mala.

Estos resultados corresponden a encuestas realizadas a distintos perfiles (695 en 2005 y 749 en 2007) en empresas de diversos tamaños en todo el mundo (aproximadamente el 55% entre EEUU y Europa, a partes iguales), por lo que tiene una relevancia global. Si bien se aprecia una tendencia hacia el incremento en el nivel de madurez de àrea de TI en las organizaciones, también queda claro que aún hay mucho que mejorar.





bdigital Global Congress – “IT-Governance”

26 05 2008

Siguiendo con los temas del bdigital Global Congress, el jueves 22 por la tarde asistimos a la sesión que da título a este post, en la que se analizaron los modelos de gestión de la tecnología.

Nadie discute el papel estratégico de la tecnología dentro de las organizaciones tanto en la mejora de la productividad interna como en la propia generación de valor para el cliente. Sin embargo, la gestión de la misma dentro de las organizaciones ha estado siempre impregnada de la problemática del día a día, lo que la dotaba de un aura de artesanía y de gestión de lo excepcional (incidencias, incidentes de seguridad, …) que la hacía poco estructurada y predecible.

Como ya hemos comentado otras veces, existen hoy día herramientas de gestión suficientes y contrastadas a nivel internacional capaces de gestionar adecuadamente las TIC dentro de las organizaciones, de establecer canales formales de comunicación con la Dirección, de predecir los resultados y estructurar las actividades de los departamentos de Sistemas y Tecnologías de la Información. En este sentido, estándares como ITIL o COBIT son de gran utilidad a la hora de organizar los procesos internos y tener en cuenta múltiples aspectos de la gestión que a menudo se descuidan.

La sesión empezó con un intento de clase magistral (“IT-Governance: estrategia, gestión y medida”) a cargo de Antoni Bosch, Director del Institute of Audit & IT-Governance (IAITG) y anterior presidente de ISACA-Barcelona. Digo “intento” porque al tratar de vincular entre sí diversos modelos formales de estrategia, gestión y control, el tema se hizo muy denso (ya lo es por sí solo) para el tipo de audiencia y el poco tiempo disponible.

Afortunadamente para la mayoría presente, le siguió Antonio Valle, Editor de GobiernoTIC.es, que en su ponencia “De la estrategia a la práctica: modelos de gestión” llevó las cosas a un mundo más terrenal y práctico, intentado clarificar conceptos esenciales, como la diferencia entre “gobierno” y “gestión”, o la confusión en la que se mueve el sector a la hora de definir qué es IT-Governance y cómo algunos proveedores aprovechan este hecho para vender.

Seguidamente, Miguel González Simancas, de Telefónica Soluciones, explicó la experiencia de esta división de Telefónica en la implantación de la norma UNE-ISO/IEC 20.000, que como sabemos es lo más cercano a ITIL desde el punto de vista de las certificaciones ISO. Sólo 5 compañías en España disponen actualmente de esta certificación, y Telefónica, como pionera, la está implantando progresivamente en todas las áreas de su organización.

Finalmente, y de manera muy breve, Lluis Vera, Socio Director de TB-Security, presentó un caso práctico de aplicación de los postulados de IT-Governance en la gestión de servicios de seguridad.





Presentación monográfico Novatica sobre IT Governance

20 05 2008

El 14 de Mayo asistimos al acto de presentación del número 191 de Novática,  monográfico dedicado al Gobierno de las TIC, que tuvo lugar en en el Ateneo Barcelonés.

El acto, al que asistieron unas 50 personas,  transcurrió en un ambiente muy ameno y cercano, gracias a la valía de los ponentes. En primer lugar, Didac López realizó la introducción, presentando la revista y el trabajo realizado por todo el equipo de edición y colaboradores. Seguidamente, Antonio Valle (Gobierno TIC) realizó una presentación brillante y motivadora sobre estado del arte en el Gobierno de las TIC. Aleix Palau continuó con un estudio sobre el estado del Gobierno de las TIC en España. Y finalizó el acto una presentación de Tomás Roy (CTTI), que aportó el punto de vista de un usuario en una gran entidad, la Generalitat de Catalunya.

La monografía trata sobre la necesidad de una correcta alineación de las políticas y decisiones tomadas en la empresa en materia de Tecnologías de la Información con su estrategia de negocio. A esta disciplina se le llama “Gobierno de las TI(C)”, del inglés IT Governance. A ella se le suelen asociar métodos, herramientas y marcos de trabajo que se han puesto de moda en tiempos recientes (ITIL, Cobit, etc.) y que, como argumentan algunos de los artículos de la monografía, corresponden más bien al ámbito del control de la gestión informática y de la auditoría antes que a las propias políticas de desarrollo e implantación de las TI. La polémica sobre qué es cada “cosa” y a quien corresponde está servida y hay un par de artículos que tratan en profundidad sobre ello.





IT Governance Global Status Report

26 02 2008

El IT Governance Institue (ITGI) junto a PricewaterhouseCoopers ha publicado recientemente su informe anual.  El documento, de 73 páginas, recoge los resultados de las encuestas realizadas a más de 750 CIOs/CEOs entorno a los siguientes objetivos:

  • Grado de conocimiento del concepto de IT Governance 
  • Nivel de experiencia con los frameworks de IT Governance, cuáles son conocidos, se usan, se usarán, …
  • Conocimiento del framework del ITGI, COBIT, y ,si se usa, cómo se percibe?  
ITGI

Será muy interesante desgranarlo y comparar la evolución de este campo en comparación con los tres años anteriores con los que compara el informe. Por lo pronto, a continuación se resumen algunas de las conclusiones del informe:

  1. Aunque el liderazgo para IT Governance dentro de la empresa viene del nivel del CIO/CEO, en la práctica diaria sigue siendo una tarea del CIO y/o el director TI. Los pocos directores no-técnicos de en muestra tienen una visión mucho más positiva de TI que los propios profesionales.
  2. La importancia de las TI continúa aumentando.
  3. La autoevaluación con respecto a IT Governance ha aumentado y es absolutamente positiva.
  4. La comunicación entre TI y los usuarios está mejorando, pero lentamente.
  5. Todavía hay espacio substancial para la mejora en el alineamiento de TI y el negocio.
  6. Los problemas relacionados con TI persisten, especialmente en el ámbito de personal.
  7. Las buenas prácticas son conocidas y se aplican, pero no universalmente.
  8. Las organizaciones saben quién puede ayudarles a implantar mecanismos de IT Governance, pero no se valoran adecuadamente la experiencia y capacidades requeridas para llevarlo a cabo.
  9. La actividad entorno a la adopción de mecanismos de IT Governance es creciente.
  10.   Se emplean marcos de trabajo y soluciones bien conocidos.
  11.   El conocimiento (awareness) de COBIT supera el 50%, si bien la adopción se sitúa aldededor del 30%.
  12.   Más de la mitad de los encuestados tienes planes para aplicar algunos de los principios de VAL IT, si bien no lo conocen formalmente.
  13.   Las reticencias para la adopción de VAL IT provienen de la incertidumbre al respecto del ROI y la falta de conocimiento/experiencia.