COBIT 5 – una nueva versión del ya conocido estándar para el cumplimiento de objetivos de control para el CIO y su área. Esta versión, profundamente revisada y mejorada, provee un marco de referencia integral que contribuye en la organización al logro de los objetivos y entrega de valor a través de un efectivo gobierno y gestión de la TI empresarial. A partir de su participación en la crítica objetiva en los borradores preliminares del modelo, en este artículo, Sergio Sperat, socio de Estratega y profesional certificado en el gobierno de TI empresarial (CGEIT), responde las preguntas que el CIO se hace al acercarse a este nuevo estándar para ayudarle a descubrir cómo le puede ayudar a mejorar su gestión.

Por Sergio O. Sperat

¿Cuál es el propósito de COBIT?

COBIT fue creado para ayudar a las organizaciones a obtener el valor óptimo de TI manteniendo un balance entre la realización de beneficios, la utilización de recursos y los niveles de riesgo asumidos.  COBIT 5 posibilita que TI sea gobernada y gestionada en forma holística para toda la organización,  tomando en consideración el negocio y áreas funcionales de punta a punta así como los interesados internos y externos.  COBIT 5 se puede aplicar a organizaciones de todos los tamaños, tanto en el sector privado, público o entidades sin fines de lucro.

¿Quién utiliza COBIT?

COBIT es empleado en todo el mundo por quienes tienen como responsabilidad primaria los procesos de negocio y la tecnología, aquellos de quien depende la tecnología y la información confiable, y los que proveen calidad, confiabilidad y control de TI.

¿Qué ocurrió con los objetivos de control en COBIT 5?

Al basarse en 5 principios y 7 habilitadores, COBIT 5 utiliza prácticas de gobierno y gestión para describir las acciones que son ejemplo de mejores prácticas de su aplicación.  COBIT 5 ha cambiado su enfoque de objetivos de control a una visión por proceso, descripta en detalle por uno de los principales redactores del nuevo estándar, Erik Guidentops, en su artículo “Where Have All The Control Objectives Gone?”

¿Cuáles son los 5 principios de COBIT 5?

1. Satisfacer las necesidades del accionista
2. Considerar la empresa de punta a punta
3. Aplicar un único modelo de referencia integrado
4. Posibilitar un enfoque holístico
5. Separar gobierno de la gestión.

¿Cuáles son los 7 habilitadores de COBIT 5?

1. Principios, políticas y modelos de referencia
2. Procesos
3. Estructuras organizacionales
4. Cultura, ética y comportamiento
5. Información
6. Servicios, infraestructura y aplicaciones
7. Gente, habilidades y competencias.

¿Qué hay de la separación entre Gobierno y Gestión?

El gobierno asegura que los objetivos empresariales se logran evaluando las necesidades de los accionistas, las condiciones y opciones; establecer la dirección a través de la priorización y la toma de decisiones; y monitorear el desempeño, el cumplimiento y el progreso versus la dirección y objetivos acordados (EDM, por Evaluar, Dirigir, Monitorear).

Por su parte la gestión se ocupa de planificar, construir, ejecutar y monitorear las actividades alineadas con la dirección establecida por el organismo de gobierno para el logro de los objetivos empresariales (PBRM ó Planificar, Construir, Ejecutar y Monitorear, por su sigla en inglés).

La siguiente imagen sintetiza muy bien estos dos conceptos, muchas veces confundidos:

¿Es COBIT 5 un modelo superior a otros modelos de control aceptados?

La mayoría de los ejecutivos conocen la importancia de los marcos generales de control en relación con la responsabilidad fiduciaria, tales como COSO, Cadbury, CoCo, Sarbanes-Oxley.  Sin embargo, no necesariamente son conscientes del nivel de detalle de cada uno.  Por otro lado, los ejecutivos cada vez más conocen la importancia de guías técnicas como ITIL (para la gestión de servicios de TI) e ISO 27001 (para seguridad de información).

Si bien estos estándares y modelos enfatizan el control del negocio y la seguridad y servicio de TI, COBIT es el único que se ocupa de los controles específicos de TI desde la perspectiva del negocio.  De hecho, COBIT 5 se basa en ISO/IEC 15504 e ITIL.  No se pretende que COBIT reemplace estos modelos de control, sino lo que se destacan son los elementos de gobierno y gestión y las prácticas necesarias para crear valor para la compañía.

¿Cuál es la forma más rápida y efectiva de presentar COBIT a los ejecutivos?

La cultura empresarial es de vital importancia.  Una cultura proactiva será más receptiva que una que no lo es.  Sin embargo, hay que considerar el énfasis que COBIT hace en la creación de valor para el accionista por estar guiado por los objetivos del negocio, la alineación con estándares internacionales reconocidos y su simplicidad.  Las áreas de gobierno y gestión emanan de tan sólo 5 principios y 7 habilitadores.

Conclusiones

Ya entrada la segunda década del siglo XXI, la relevancia de TI en el funcionamiento de cualquier organización, sin importar su tamaño, es absolutamente incuestionable e indiscutida.  Sin embargo, y en nuestra extensa experiencia como consultores y asesores de áreas de sistemas, no son pocos los responsables de áreas de TI que manifiestan su dificultad al momento de mostrarle al negocio su aporte de valor.

Ya hace unos años hicimos un aporte ampliamente reconocido en esta área a través de nuestro modelo de medición de la contribución del valor de TI al negocio (ver nuestros artículos parte 1 y parte 2 donde presentamos esta temática).

Complementariamente, también hemos venido promocionando desde 2007 el re-posicionamiento del CIO, Gerente de Sistemas o Gerente de TI como máximo responsable de la nueva Oficina de Procesos de Negocio (BPMO, por su sigla en inglés).

Cinco años después, y en total sintonía con nuestra visión de la evolución del CIO, ISACA publica la nueva versión de COBIT íntegramente enfocada a procesos, como Estratega sabe que es la mejor manera de abordar esta temática.

Así que estamos absolutamente convencidos que este enfoque está más cerca del negocio que el resto de los estándares y modelos que recomiendan mejores prácticas para la gestión interna de las áreas de Sistemas.

Estratega, con sólida y probada experiencia como asesor líder del CIO, puede ayudarlo con una nutrida cartera de servicios que contribuyan al logro de sus objetivos:

• Estrategia de gobierno de TI (ISO 38500, COBIT)
• Diseño de Tablero de Control de TI (Balanced Scorecard)
• Oficina de Calidad de Servicio de TI
• Mejora de Procesos de Negocio
• Plan de Continuidad del Negocio (BCP, BS 25999)

Acerca del autor de este artículo

Sergio Sperat es socio de Estratega y tiene una trayectoria de más de 20 años como consultor en estrategia de áreas de TI y negocios, desarrollada en una amplia variedad de industrias en Argentina, Chile, México y Estados Unidos.  Es Licenciado en Análisis de Sistemas de la Facultad de Ingeniería de la Universidad de Buenos Aires, hizo su Programa de Dirección de Empresas en el IAE Business School en 1995, completó su Maestría en Administración de Empresas en IDEA y London Business School, en Inglaterra en 2001. Fue profesor adjunto del postgrado del Master en Administración de Empresas de IDEA.

Sergio está certificado en CobiT y CGEIT (ISACA) y se desempeña como responsable de Aseguramiento de Calidad y Dirección de Proyectos de Estratega.

Sergio está certificado como consultor Blue Ocean Strategy Practitioner por el Blue Ocean Strategy Institute (Reino Unido).

Twitter: @losestrategas

LinkedIn: http://ar.linkedin.com/in/ssperat

Su correo electrónico es sergio.sperat@estratega.org

Edición y contribución editorial: Belén Galiotti

Standards.org es una organización independiente basada en Londres, Reino Unido, cuyo objetivo es ayudar a empresas de todo el mundo a que logren la certificación y cumplimiento de estándares internacionalmente reconocidos.  Para ello, proveen recursos e información accesible y compilada por líderes de industria, así como un equipo de expertos de industria que proveen contenido sobre cada esquema certificable en particular.

Estratega es la primera consultora en hispanoamérica en contar con el aval de standards.org, específicamente en las normas ISO 20000, ISO 27001, BS 25999, CMMI, IFS, ISO 14001, ISO 20252, ISO 28000, ISO 9001, OHSAS 18001, PCI DSS y TickIT.

De esta forma, una vez más mantenemos nuestro compromiso de estar a la vanguardia en mejores prácticas para acompañar a nuestros clientes en los procesos de alineación o certificación de estándares internacionales.

Los invitamos a recorrer el sitio de standards.org así como la presencia de Estratega en Argentina y Perú.