Lejos de pretender resultar ofensivo  -vaya lo de “pobre” con todo el respeto-,  el titular que precede estas líneas no hace sino constatar una evidente realidad: a diferencia de lo ocurrido con su hermana mayor  -a la que se ha dedicado no poca literatura-,  de la norma australiano-neozelandesa AS/NZS 8016(Int):2010. Corporate governance of projects involving information technology investments apenas se ha oído hablar en el año que lleva en vigor.

¡Poco se ha escrito sobre ella! ¡Pocas charlas/conferencias se le han dedicado! Una búsqueda en Google de la cadena “AS/NZS 8016(Int):2010” arroja unos escuálidos 85 resultados. ¡Haga la prueba!

La publicación, en enero de 2005, de la norma australiana AS 8015-2005. Corporate governance of information and communication technology  , constituía el final de una etapa, iniciada cinco años atrás por un grupo de individuos preocupados y motivados pòr la aparición en el panorama corporativo y gubernamental australiano de una serie de escándalos económicos, en cuya génesis se encontraban determinadas inversiones  -dotadas de un notable componente tecnológico-  mal dirigidas y peor controladas.

Sin embargo, la aparición de la AS8015  -reeditada, en junio de 2008, como norma internacional ISO/IEC 38500:2008. Corporate governance of information technology, “pseudónimo”, por el que, hoy, es más conocida-  supuso, también, la apertura de una puerta a nuevos desarrollos normativos en ámbitos particulares del uso de las Tecnologías de la Información y las Comunicaciones. Dichos ámbitos se concretaban, particularmente, en dos: los proyectos de TI y las operaciones de TI.

Del segundo de aquellos, nada se ha vuelto a saber. Transcurridos seis años desde que la norma base  -AS8015-  viera la luz, no hay constancia de la publicación de resultado alguno sobre la gobernanza de las operaciones de TI  -supuesta AS8017-.  Cabe, en este sentido, pensar que los desarrollos habidos en estos años en los ámbitos de la gestión de los servicios de TI  -aparición de la serie de normas ISO/IEC 20000, en 2005, y sus recientes y actuales revisiones, unidas a la publicación de la tercera versión del modelo ITIL, en 2007-  hayan contribuido a frenar el ímpetu inicial de los promotores de la serie AS 801x. De confirmarse este extremo, habría que lamentarlo, por cuanto se estaría dejando pendiente de aclarar la, nunca suficientemente entendida, diferencia entre Gobernanza y Gestión, y, con ello, aquellos aspectos relativos a la toma de decisiones sobre los servicios de TI que reciben y sustentan las operaciones de negocio de las organizaciones. Estas últimas nada tendrían que decir  -asunto, en todo caso, más que discutible-  sobre cómo se operan los sistemas de información y de soporte al negocio; sin embargo, sí parece que debieran asumir un destacado protagonismo a la hora de decidir: qué servicios se han de recibir  -¿cuáles, por qué y para qué?-;  qué alcance habrían de tener tales servicios  -¿departamental o corporativo?-;  a qué coste  -¿qué dinero ha de dedicárseles, a juicio de la organización?-;  qué modelo de aprovisionamiento de dichos servicios conviene más al negocio  -¿interno o externo?-;  etc. ¡El tiempo despejará la incertidumbre sobre la AS8017!

Retomando el primero de los dos ámbitos citados más arriba, la materialización, hace un año, de la AS8016, publicada como norma provisional, permite ver con un mayor optimismo  -al menos, a priori–  las tareas de desarrollo normativo en torno a las inversiones en nuevas actuaciones, apoyadas significativamente en la tecnología; esto es, en torno a los que  -de forma simplificada, en exceso-  se denominan proyectos de TI.

Con un cierto paralelismo en relación a lo expuesto para las operaciones de TI, la elaboración de una norma sobre el gobierno corporativo de aquellos proyectos de negocio que impliquen inversiones en Tecnologías de la Información y las Comunicaciones, ha supuesto dar un paso más allá de la mera gestión de proyectos  -disciplina suficientemente cubierta por modelos del sector como CMMI-DEV, PMBoK o PRINCE2 y otras normas-,  poniendo el acento, no en la ejecución de tales proyectos, sino en el beneficio que, para la organización, supondrá abordarlos.

Este enfoque centrado en el valor de las inversiones  -ya explorado por ISACA, en su modelo Val IT, desde 2006; ITIM, VMM o, más recientemente, MoV, son otros ejemplos-  favorece, asimismo, la ampliación de la perspectiva tradicional del Gobierno Corporativo, centrado en la conformidad y en el cumplimiento con normas y regulaciones, hacia un nuevo planteamiento que apunta a la contribución (rendimiento/rentabilidad) que, desde TI, se hace a los resultados del negocio.

Este nuevo discurso, centrado en términos como priorización de inversiones, gobierno del valorrealización de beneficios, etc., debería servir, además, para atraer, hacia la problemática que plantean las inversiones tecnológicas, a todos cuantos tengan responsabilidades en la dirección y control de las organizaciones. Lamentablemente, la poca atención que parece haber recibido la norma en su primer año de vida, crea serias dudas sobre el interés que haya podido causar, siquiera, entre los más fervientes seguidores de su hermana mayor.

¡No se sorprendan! ¡Sigue tratándose de mensajes que no van dirigidos a nosotros, los técnicos!

 

Artículos relacionados

  1. Dos años de ISO 38500: ¿es éste el camino?
  2. ISO/IEC 38500:2008. Un año difundiendo el concepto de ‘Buen Gobierno Corporativo de las TIC’
  3. ISO/IEC 38500:2008. Un “salvavidas” en la difusión del concepto de “Gobierno Corporativo de las TIC”
  4. Gobernanza de TI en una línea (revisada)
  5. Una “misiva” para la alta dirección
Anuncios

¡El tiempo vuela! Sin duda, una afirmación carente de toda originalidad; pero no por ello, menos cierta.

Así lo demuestran los acontecimientos. Hace tan sólo unos días, se conmemoraba, desde estas mismas páginas, el primer aniversario de la constitución de la Comisión para el estudio y el desarrollo del Buen Gobierno Corporativo de las TIC, dentro de las organizaciones, del Capítulo de Madrid de ISACA. Ahora, toca recordar la publicación de la norma ISO/IEC 38500:2008, Corporate Governance of Information Technology, ocurrida hace dos años.

La aparición, en aquellos momentos, de una norma de alcance internacional, como la citada, constituyó, cuando menos, un hito “ilusionante”; y ello, por dos motivos:

  • en primer lugar, el respaldo de ISO no debía, sino suponer la, ampliamente esperada, puesta de largo de una disciplina que había venido cocinándose, durante una década, en los fogones de otras reputadas y respetadas instituciones como el IT Governance Institute, de ISACA, o la Escuela de Dirección Sloan, del MIT; y,
  • por otro lado, la norma, de manera relativamente escueta, pero clara, apuntaba hacia la esencia del concepto de ‘buen gobierno corporativo’, hundiendo su raiz en el “Informe Cadbury“; e identificando, con esa misma nitidez, a los individuos que deberían recoger el mensaje enviado, a duo, por ISO e IEC: los consejeros y miembros de la alta dirección de las organizaciones.

La perspectiva aportada por los dos años transcurridos permite analizar si tales expectativas se han cumplido.

ISO

Con respecto al primer punto, los hechos muestran cómo, lamentablemente, la contribución de ISO no ha sido  -no está siendo-  adecuadamente entendida; dando al traste, al menos de momento, con el deseo expresado desde ‘Gobernanza de TI‘  -“¡Ojalá el mercado termine siendo capaz de comprender la esencia del mensaje!“-  en la crónica publicada hace ahora un año.

Lo que debería haber sido un paso a la mayoría de edad de la disciplina del Gobierno Corporativo de TI  -y un distanciamiento de los ámbitos estrictamente académicos (MIT) y profesional-sectoriales (ISACA)-,  gracias al amplio reconocimiento público de la “marca” ISO, ha devenido en una banalización del mensaje transmitido. Banalización que tiene su origen, como se ha apuntado, en la falta de comprensión de la orientación y objetivos de la norma, como demuestran afirmaciones del estilo: “¡Vaya una norma, si no dice nada!“, o interpretaciones erróneas que tratan de “implantarla” como si de una norma ISO, al uso, se tratase.

Lo que dice la norma

Por supuesto que dice, y mucho. Hay que saber leerla. No debe confundir el hecho de que lo diga en pocas páginas. Quienes realmente deberían leerla  -no parece que lo estén haciendo-  a buen seguro que sabrían interpretar con claridad lo que les dice y sacarle el debido partido. (Ello, básicamente, debido al carácter trivial y de sentido común de los mensajes que encierra).

La propia norma comienza avisando de su intencionalidad, que no es otra que la de “asesorar” a quienes tienen responsabilidades sobre el correcto funcionamiento de las organizaciones, en relación al papel que les toca jugar respecto de las TI  -sustento, en gran medida de la actividad de aquellas-. Y finaliza definiendo y detallando media docena de principios generales para el Buen Gobierno Corporativo de las TIC: responsabilidad, estrategia, inversión, conformidad, rendimiento y comportamiento.

Si Ud. echa de menos un mayor nivel de detalle  -procesos, procedimientos, instrucciones técnicas concretas, …-  para poner esos seis principios en marcha, disculpe la franqueza, pero, claramente, no se encontrará Ud. entre los destinatarios naturales de la norma; o, lo que es, aún, peor, Ud. no se habrá enterado de nada.

Sobre la supuesta “implantación”

Al hilo del anterior comentario, y en el marco general de banalización de la norma, se oye hablar, no pocas veces, de “implantarla”; e, incluso  -los más osados-  de desplegar un sistema de gestión, en torno a ella, como si de una norma de calidad, al uso, se tratase.

Lo que debe hacer Ud. con la norma ISO 38500, o más concretamente, con sus seis principios generales, es adoptarlos; esto es, hacerlos suyos e incorporarlos a la cultura y al día a día de la organización. Como dicen los amigos Manolo Palao y Ricardo Bría (1), una norma como ésta ha de ser sometida a un proceso de ad@ptación (léase, “adoptación“), una combinación de adopción y adaptación a las particularidades micropolíticas de la organización.

Naturalmente, ya vendrá después la necesaria puesta en marcha de una serie de mecanismos [de Buen Gobierno] que faciliten tal “adoptación”.

Optar por un enfoque diferente, no supondrá, sino un alejamiento de la intencionalidad original de la norma y una delimitación del mensaje de Gobierno Corporativo de TI al perímetro del Departamento de Calidad, como se está observando en más de una organización.

Moraleja

Si Ud. quiere llevar el mensaje de Gobierno Corporativo de TI a sus verdaderos destinatarios, hábleles de principios como los citados en este artículo (a lo mejor, tiene suerte y están dispuestos a adherirse a ellos). Si, por el contrario, se conforma con seguir discutiendo con sus iguales en los foros profesionales dispuestos a tal fin, siga ejercitando su memoria e incorporando como parte de su lenguaje la extensa codificación empleada por los cuerpos normativos del panorama internacional.

Los destinatarios

El análisis de la segunda expectativa creada hace dos años con la publicación de la norma ISO/IEC 38500:2008 obliga a reconocer, igualmente, que la comunidad que mejor acogida le ha dado es la conformada por los profesionales de los SSII y las TIC, a los que, como es evidente, no iba estrictamente dirigida.

El vals del Elefante

Fue precisamente ese hecho, esa realidad, la que empujó al australiano Mark Toomey  -co-autor de las normas AS 8015-2005, ISO/IEC 38500:2008 y, más recientemente, AS/NZS 8016(Int):2010–  a escribir su libro “Waltzing with the Elephant“, un intento de transmitir el verdadero significado de la norma ISO 38500, a sus oportunos destinatarios.

La obra, de lectura absolutamente recomendable, nació  -según ha declarado el propio Toomey-  con el objetivo de poner las cosas en su sitio, de ejercer un cierto acto de rebeldía frente a una evidente y aplastante realidad: eran los profesionales informáticos los que, de forma mayoritaria, acudían a los foros de debate abiertos durante la elaboración de la norma (subcomités y grupos de trabajo de Australian Standards, de ISO, …).

Los foros de normalización

ISO ha sabido resolver el problema  -sólo parcialmente-  mediante la creación, a finales de 2008, de un grupo de trabajo específico (WG6), e independiente del resto de subcomités y grupos de trabajo sobre Tecnologías de la Información, que componen el Comité Técnico Conjunto 1 (JTC1), paraguas de todos ellos. El WG6 está dedicado, en exclusiva, al estudio y desarrollo de normativa en torno a la disciplina del Gobierno Corporativo de TI. Ahora sólo falta que ISO sea capaz de atraer al mismo a otros profesionales, procedentes del ámbito de la dirección empresarial.

En España, AENOR, aún no ha dado ese paso. El desarrollo normativo del Buen Gobierno Corporativo en materia de TIC está todavía excesivamente ligado (cercano) al de otras disciplinas no menos importantes en materia de TI, como son las relativas a la Gestión de los Servicios Informáticos; pero cuya forzada “proximidad” no hace sino dificultar la correcta difusión del espíritu de la norma ISO/IEC 38500:2008.

Moraleja

Parafraseando a G. Vaughn Jhonson (2)  -“la Informática es demasiado importante como para dejarla en manos de los informáticos“-,  cabe sugerir que ISO, AENOR y los demás organismos normalizadores deberían echarnos  -disculpen esta gotita de protagonismo-  de estos grupos de trabajo, a todos los informáticos, procediendo a su refundación y habilitando la entrada en ellos, únicamente, a individuos procedentes de los órganos de gobierno de las corporaciones privadas y entidades de la Administración.

En suma, ¿cuál habrá de ser el camino?

Aún reconociendo la trascendencia de hitos como la publicación de la norma ISO 38500, tal vez, la manera más adecuada de llegar a los miembros de los Consejos de Administración y a los responsables de dirigir las organizaciones, no haya de venir por ahí, y sí por la vía de otros esfuerzos reguladores/normativos como podría ser una revisión y mayor desarrollo de los Códigos de Buen Gobierno Corporativo. El Código e Informe “King III” en Sudáfrica constituyen un claro ejemplo de ello.

De otro modo, habría que preguntarse, también, ¿qué le está faltando a la Gobernanza de TI para alcanzar los niveles de identificación y aceptación que, a nivel directivo, están teniendo otras disciplinas como la Sostenibilidad y la Responsabilidad Social Corporativa? (Por cierto, ámbitos para los que también existe, dentro del mundo ISO, un determinado desarrollo normativo).

 

Artículos relacionados

  1. Entrevista con Mark Toomey, autor de “Waltzing with the Elephant”

(1) Palao García-Suelto, Manolo y Bría Menéndez, Ricardo. “Implantación de Buen Gobierno de los SI y las TIC ad@ptando COBIT, ITIL y VAL IT: Una caricatura respetuosa“. Novática, nº 191, págs. 39 y ss. Enero-febrero de 2008. URL:: http://www.ati.es/novatica/2008/191/Nv191-Presentacion.pdf.
(2) Vaughn Jhonson, G. “Information Systems. A Strategic Approach“. Mountain Top Publishing. Nebraska, 1990.

Como se había anunciado desde estas mismas páginas, el pasado viernes, día 20 de noviembre, llegaba a la Terminal 4 (T4) del Aeropuerto de Madrid-Barajas el vuelo de Iberia IB3515, procedente de Frankfurt (Alemania), con un esperado pasajero. A eso de las 10:45 de la mañana, y tras más de veinticinco horas de viaje, aparecía en el hall de llegadas de la citada terminal el especialista australiano en Gobierno Corporativo de TI, Mark Toomey.

La escala madrileña del autor de “Waltzing with the Elephant. A comprehensive guide to directing and controlling information technology” formaba parte de un periplo más amplio, iniciado en Perth (Australia) y que continuaría, tras su paso por Madrid, en las ciudades de Frankfurt, donde, esta misma semana, tenía previsto ofrecer un curso de dos días de duración sobre “Fundamentos del Gobierno Corporativo de TI“, y Singapur, a donde acudiría con motivo de la reunión plenaria del grupo de trabajo JTC1/WG6 de ISO. Todo ello, antes de su regreso definitivo a Melbourne (Australia).

Gobernanza de TI ha tenido la oportunidad de acompañar al Sr. Toomey durante gran parte de los casi seis días que ha durado su estancia en Madrid y ha tenido ocasión de compartir e intercambiar con él una serie de impresiones sobre el Gobierno Corporativo de las Tecnologías de la Información y las Comunicaciones; sobre cómo el mercado  -y quiénes dentro de este mercado-  están siendo más proclives a acoger el mensaje subyacente a esa “nueva” disciplina; y, sobre el previsible desarrollo que, en este campo, se adivina.

Los párrafos que siguen tratan de ofrecer un resumen de tales reflexiones. El formato elegido en esta ocasión para presentar dichos comentarios  -una entrevista-  ayudará, sin duda, a trasladarles a Uds. los mensajes del Sr. Toomey y hará más dinámica la lectura de tales conclusiones.

Gobernanza de TI: Estimado Sr. Toomey, ¡bienvenido! Su primer viaje a España. ¿Qué impresiones se está llevando en estas primeras horas, casi minutos, desde su llegada?

Mark Toomey: Muchas gracias. Lo cierto es que lo que, apenas, he podido contemplar desde el avión no parece diferir mucho del paisaje australiano. Al llegar a Madrid hemos visto cómo, bajo nosotros, se extendía un amplio manto de color pardusco. Una tonalidad muy similar a la que, mayoritariamente, se puede observar en tierras australianas. La geología y la historia natural de la isla-continente han ayudado; el comportamiento del hombre blanco, tras su llegada, en relación al uso de los recursos naturales y del entorno, y la deforestación, han hecho el resto. Del mismo modo, confío en poder encontrar similitudes equivalentes entre ambos paises, en lo relativo al uso que se hace de las TI en el seno de las organizaciones y a la inquietud por ejercer sobre aquellas una dirección y control adecuados.

GdTI: Obviamente, es esto último lo que ha motivado su visita a España; pero, ¿podría comentar cómo nace su preocupación y qué pretende con ello?

MT: Tras una larga carrera en el mundo de las TI  -gran parte de ella en el sector financiero-,  a principios de esta década comencé a involucrarme y a colaborar con una nueva corriente que surgía en Australia a la sombra de ciertos escándalos y desastres económicos cuya raiz se hundía en el uso que, de las TIC, se había hecho en determinadas instituciones. Esa labor coral culminaría con la publicación, en enero de 2005, de la norma australiana AS8015:2005. Corporate governance of information and communication technology, germen de la posterior ISO/IEC 38500:2008. Corporate governance of information technology, publicada, finalmente, en junio de 2008. A partir de aquí, en los últimos tiempos he hecho de la difusión de los principios subyacentes al concepto de Buen Gobierno Corporativo de TI mi misión personal. De este modo, estoy tratando de concentrar todos mis esfuerzos en transmitir a las organizaciones la necesidad de poner en marcha sistemas que permitan ejercer las debidas actividades de evaluación, dirección y supervisión sobre el uso, presente y futuro, de sus propios recursos de TI.

GdTI: Claro fruto de dicho esfuerzo ha sido el libro “Waltzing with the Elephant“, publicado hace tres meses. ¿Por qué esa invitación a “bailar un vals con el elefante”?

MT: (Sonrisas). Bien, la idea parte de la expresión “the elephant in the room” (el elefante en la habitación). No se lo que ocurre en España (más sonrisas); pero en Australia no es habitual encontrarte un elefante en la habitación. De ocurrir, probablemente, lo primero que diríamos sería “¿qué diablos hace esto aquí?“. Esa es precisamente la percepción que, sobre las TI, parece existir entre los miembros de los consejos de administración de las organizaciones de hoy. En no pocas ocasiones la aparición de temas tecnológicos en las agendas de dichos consejeros parecen “desentonar” del curso normal de las reuniones del consejo. “¿Qué diablos hace ESTO aquí? ¿No deberían haberse ocupado de ello los chicos de Informática?“. “Waltzing with the Elephant” trata de poner la semilla para que los sistemas de dirección y control de las Tecnologías de la Información comiencen a verse como una herramienta más del negocio, que, por tanto, habrá de ser manejada por quien tiene potestad para manejar dicho negocio.

GdTI: En las respuestas anteriores ha venido haciendo un reiterado hincapié en el “uso de las TI” o “de los recursos de TI” de los que disponen las organizaciones. Ello, junto a su último comentario sobre “el Elefante”, ¿han de hacer pensar que debería ponerse más nitidamente el acento en ese lado de la ecuación, en el lado del usuario, en definitiva, en el lado de quien demanda soluciones y servicios habilitados por TI?

MT: Así es. Hasta ahora, gran parte de los esfuerzos que se han hecho en relación a la difusión de la necesidad de establecer marcos para el Buen Gobierno Corporativo de TI han puesto el foco y han tenido como claro destinatario el lado de la oferta, de la provisión de soluciones y servicios de TI. De este modo, dichas propuestas han devenido en meros marcos para una eficaz Gestión de TI; pero en ningún caso pueden considerarse modelos para el Gobierno de TI. Asimismo, la literatura sobre Gobierno de TI pone, una y otra vez, el acento en la figura del Director de Sistemas de Información, como protagonista principal en este escenario. Sin embargo, obviar el lado de la demanda no parece tener sentido. Sería dejar la ecuación incompleta y, además, no se antoja la mejor forma de ayudar a aproximar esos dos lados, tan habitualmente distantes. Tomemos el ejemplo de un atomóvil. Un discurso basado, principalmente, en el lado de la oferta, en mejorar dicha oferta, hablaría, casi exclusivamente, de los engranajes ocultos bajo la carrocería, del par-motor, de la potencia del vehículo, etc. Por el contrario, visto desde el lado de la demanda, podrían resultar más interesantes otros aspectos como la marca, línea o el color del coche, la existencia de sólo cinco asientos, o la posibilidad de montar siete a fin de que la familia viajase lo más cómodamente posible, etc. Orientar el mensaje hacia el lado de la demanda contribuirá a facilitar la comprensión de los problemas asociados a las TI, por parte de la gente al mando de los negocios, y ayudará  a elevar la posición de la información y sus tecnologías afines al nivel que le corresponde junto al resto de activos clave de las organizaciones.

GdTI: ¿Qué papel juega el comportamiento humano en relación a las TI?

MT: Muy buena pregunta. Esa es una de las claves, demasiado a menudo olvidada. Al principio de la conversación mencioné el comportamiento del hombre blanco, tras su llegada a Australia, y cómo dicho comportamiento había determinado el uso que se había hecho de los recursos naturales. O, por ejemplo, retomemos, de nuevo, el símil del automóvil. En este caso, tampoco hablaremos de Tecnología de la Información, hablaremos de lo que podríamos denominar “Tecnología de Transporte“. Los principios, no obstante, son, igualmente, aplicables. En el vehículo somos capaces de identificar muchas de las situaciones cotidianas que caracterizan a las TI dentro de las empresas: tenemos la fabricación externalizada en el constructor, tenemos el mantenimiento externalizado en el taller, etc.; sin embargo, nosotros como conductores (y, posiblemente, propietarios) de ese vehículo somos quienes nos hemos de ocupar de darle a esa tecnología de transporte un uso adecuado; y no sólo en nuestro propio beneficio, sino también en el de otros interesados (la familia, otros conductures, los peatones, las autoridades de Tráfico, etc.). Dependerá, por tanto, de nuestro comportamiento al volante, el que utilicemos de uno u otro modo dicho automóvil. En gran parte de los accidentes de tráfico las causas no han de buscarse en fallos mecánicos o eléctricos del vehículo, sino, simplemente, en imprudencias o despistes. De igual modo, gran parte de los problemas con las TI tienen su origen en negligencias u otros comportamientos inapropiados, no sólo de aquellos individuos que proveen dichas tecnologías, sino de los que las utilizan o, en última instancia, determinan su uso.

GdTI: Este último mensaje relativo a la responsabilidad que, sobre el uso de las TI, tienen los “conductores” de los negocios puede que no sea muy bien entendido por esas personas a cargo de las organizaciones e instituciones. ¿Cómo está siendo acogido el discurso del Buen Gobierno de TI en la Australia corporativa?

MT: ¿No es significativo el hecho de que haya tenido que venir a contar esto en España, en lugar de quedarme en Australia? (De nuevo, sonrisas). Lo cierto es que nadie es profeta en su tierra (más sonrisas). Bromas a parte, es cierto que el ritmo al que se está aceptando este mensaje del Gobierno de TI no es todo lo ágil que uno desearía. Por ese motivo estamos planteándonos abordar alguna iniciativa específica que ayude a acercar dicho mensaje a los miembros clave de la comunidad corporativa.

GdTI: ¿Cómo definiría el papel que están jugando, o que podrían jugar, organizaciones como ISACA o el itSMF en el citado acercamiento?

MT: El origen de este tipo de entidades no parece aconsejar que las nuevas iniciativas de aproximación a la comunidad corporativa hayan de seguir sus mismos pasos. Como ya he indicado, la clave estaría en evitar, en lo posible, aproximaciones a través del lado de la oferta; vertiente, que, sin duda, representan las organizaciones citadas. Por el contrario, sería más oportuno pensar en otro tipo de instituciones o asociaciones más afines a los individuos ubicados en el lado del negocio (lado de la demanda). Aún así, incluso entre las propias organizaciones mencionadas existen diferencias. Sirva como ejemplo el diferente poder de convocatoria que una y otra han demostrado en las últimas conferencias promovidas en el ámbito local australiano: itSMF Australia logró convocar a tres personas por cada asistente a los eventos organizados por los capítulos locales de ISACA.

GdTI: Y, ¿qué hay del ámbito de la Administración Pública australiana? A un año de su publicación, ¿qué efectos está teniendo el “Informe Gershon“?

MT: Efectivamente, el documento “Review of the Australian Government’s Use of Information and Communication Technology” (“Revisión del uso de las TIC por parte de la Administración Publica australiana“), firmado por Sir Peter Gershon el pasado mes de agosto de 2008, supuso todo un hito, tanto para el Sector Público australiano, como para la comunidad del Gobierno de TI en general, al resumir todas sus recomendaciones en un único mensaje: la necesidad de adoptar e implantar un marco de gobernanza de TI que permitiese evaluar, dirigir y supervisar el uso de las TI, según los dictados de la norma australiana AS8015:2005. Por desgracia, un año después, he de confesar que la lectura que se está haciendo del “Informe Gershon” está considerando, únicamente, el lado de la oferta, de forma que sólo se están abordando las iniciativas identificadas en el Plan, desde el punto de vista de mejorar la entrega de soluciones y servicios de TI, obviando la labor de dirección y control (supervisión) que el Informe demandaba de y asignaba a los representantes políticos, responsables últimos del correcto uso de los recursos de (y destinados a) las TIC, en favor de los miembros de la Sociedad australiana.

GdTI: Este año, una nueva iniciativa está tratando de elevar las TI a nivel de elemento de gobierno por parte de las organizaciones. Se trata del informe “King III“, publicado recientemente en Sudáfrica, que dedica un amplio apartado a recordar a los miembros de los consejos de administración sus responsabilidades en relación al uso que se hace de las TIC en sus respectivas compañías. ¿Cree Ud. que esta propuesta sudafricana servirá como catalizador para implusar el Buen Gobierno Corporativo de TI entre la comunidad empresarial sudafricana y, por extensión, entre la comunidad corporativa internacional? ¿Cree que podrá servir de ejemplo, para otras regulaciones, en otros países?

MT: Difícil pronóstico. Lo único realmente objetivo es que, a fecha de hoy, se ha creado un cierto excepticismo en torno a la redacción de esta nueva revisión del código sudafricano. Excepticismo sustentado en la creencia de que han podido generarse determinados intereses que pueden haber estado detrás de la publicación del nuevo documento.

GdTI: Por último, y en vista de esa próxima reunión del JTC1/WG6, en Singapur, la semana que viene, ¿cómo ve Ud. el desarrollo de la normativa relativa al Gobierno Corporativo de TI a nivel internacional?

MT: De nuevo, en este caso, cabe aplicar una cierta cautela, dada la composición de algunos órganos de representación en entidades de normalización como ISO. No en pocas ocasiones se encuentra uno con situaciones en las que en ciertos comités y grupos de trabajo se detecta una sospechosa y mayoritaria presencia de representantes vinculados de un determinado fabricante del sector TIC. Ello no sólo puede suponer una falta de independencia en los procesos de aprobación de nuevas normativas; sino que, en casos como el de la norma ISO/IEC 38500:2008, puede constituir una dificultad adicional a la hora de moldear un mensaje más afín al lado de la demanda de soluciones y servicio de TI, imprescindible, como se ha explicado con anterioridad.

GdTI: Muchas gracias, de nuevo, Sr. Toomey, por su amabilidad.

Mark Toomey abandonaba, finalmente, Madrid con destino a Frankfurt el miércoles, 25 de noviembre, tras ofrecer una serie de charlas-conferencias y mantener una serie de encuentros con representantes de algunas de las principales empresas del país.

El australiano Mark Toomey, autor de “Waltzing with the Elephant“, visitará España como parte de su periplo europeo, previsto para este mes de noviembre.

La visita, promovida a propuesta de Gobernanza de TI, de la Asociación Española de Métricas de los Sistemas Informáticos (AEMES) y de la propia Atos Origin, firma con la que Toomey ha colaborado recientemente en la publicación de su white paper sobre “Gobierno Corporativo de TI“, tendrá lugar durante los días 23 y 24 de este mes, en la ciudad de Madrid.

El coautor de la norma australiana sobre Gobierno Corporativo de TI, AS 8015-2005, y de la internacional ISO/IEC 38500:2008 ofrecerá una serie de charlas sobre la referida disciplina y sobre la norma ISO/IEC. En el transcurso de las mismas aprovechará, sin duda, para presentar su libro “Waltzing whith the Elephant. A comprehensive guide to directing and controlling information technology“, publicado el pasado mes de agosto.

Las charlas tendrán, previsiblemente en esta ocasión, carácter restringido e irán dirigidas, tanto a miembros de AEMES, como a clientes de Atos Origin.

Gobernanza de TI se entrevistará con Toomey los días 21 y 22, previos a las sesiones oficiales.

¡Permanezca atento! Se informará oportunamente.

La información es, sin duda, el elemento clave para el desarrollo exitoso de las estrategias corporativas en la empresa de hoy. Disponer de una información fiable, precisa y de calidad constituye la premisa de partida para una toma de decisiones que ha de garantizar mayores tasas de crecimiento y rentabilidad, innovación y competitividad, particularmente en la presente coyuntura socio-económica. Como consecuencia, las tecnologías que sustentan, tratan y generan dicha información han alcanzado una relevancia que se hace, a todos los efectos, innegable para el actual mundo corporativo.

Ya no cabe plantearse un escenario en el que la información, y sus tecnologías afines, no formen parte de un conjunto en el que se encuentran otros activos clave como los recursos humanos, los financieros, la propiedad intelectual, las infraestructuras o las relaciones, internas y externas; sobre los cuales nadie se atrevería a arrojar ninguna duda. Ya no cabe, por tanto, plantearse un escenario en el que las Tecnologías de la Información, y la información misma, estén alejadas de los marcos de dirección y control al más alto nivel, dentro de las corporaciones.

Asi parecen corroborarlo las últimas tendencias normativas  -principalmente en la órbita anglosajona-,  relativas al Gobierno Corporativo. La publicación, ya en 2005, de la norma australiana ‘AS 8015-2005. Corporate governance of information and communication technology’ o la reedición, hace tan sólo unos días, del ‘King Code of Governance Principles’ (versión sudafricana del español Código Conthe), ubican explícitamente la responsabilidad última sobre el uso de estas tecnologías en manos de los consejos de administración de las organizaciones; y marcan con notable nitidez la línea que habrá de seguir el futuro desarrollo de este tipo de regulaciones.

Exponente destacado de la citada corriente está siendo la norma ‘ISO/IEC 38500:2008. Corporate governance of information technology’, cuyo principal mérito reside en el hecho de haber sido la primera de alcance internacional en tratar este tema. La norma identifica una serie de principios generales  -responsabilidad, estrategia, toma de decisiones sobre las inversiones y conducta humana-,  que han venido a sumarse a los tradicionales motores del Buen Gobierno: la búsqueda de un mayor rendimiento (traducido en una mayor visibilidad interna) y la necesaria conformidad normativa (entendida, principalmente, como un incremento de la transparencia hacia el mercado y hacia los diferentes grupos con intereses en la organización).

Los máximos responsables de su organización, ¿encajarían, con facilidad, la anterior argumentación?

¡Demuéstrelo!

Tomando como excusa la celebración del primer aniversario de la aparición de la norma ‘ISO/IEC 38500:2008. Corporate governance of information technology‘, la firma de servicios profesionales Atos Consulting ha publicado, recientemente, un informe titulado ‘Gobierno Corporativo de TI. Impulsando el Liderazgo de TI a través del Buen Gobierno Corporativo de las Tecnologías de la Información‘.

Más allá del innegable carácter comercial de la publicación, ésta encierra, en sus casi cuarenta páginas, una serie de interesantes mensajes sobre el carácter fronterizo y el posible alcance práctico de la nueva disciplina. Los autores, pertenecientes en su mayoría al área de ‘Gobierno y Procesos de TI’ de la oficina de Madrid de la firma, hacen, a lo largo de ocho capítulos, un recorrido por los principios generales del buen gobierno corporativo de TI, recogidos en la norma ISO: responsabilidad, estrategia, adquisición, rendimiento, conformidad y conducta humana.

Paralelamente, y construida a partir de la aproximación pentagonal al Gobierno Corporativo de TI promovida por el IT Governance Institute  – alineamiento estratégico, entrega de valor, gestión de riesgos, gestión de recursos y medida del rendimiento -,  el informe ofrece una visión extendida basada en siete dominios:

  • Definición de estructuras eficaces para el buen gobierno corporativo de las TI y puesta en marcha de marcos basados en procesos;
  • Sincronización estratégica negocio-TI;
  • Aporte de valor por parte de las TI;
  • Gobierno de los riesgos corporativos derivados de las TI;
  • Gestión óptima de las operaciones, recursos y activos de TI;
  • Evaluación y medida del rendimiento de las TI; y,
  • Comunicación y gestión del cambio cultural.

El texto ha sido prologado por el australiano Mark Toomey, presidente del Comité Técnico IT-030 de Standards Australia y especialista de referencia, a nivel internacional, en las normas AS 8015-2005 e ISO/IEC 38500:2008, de las que ha sido co-creador.

Los interesados podrán obtener mayor información acerca del informe, o resolver cualquier duda respecto del mismo, en la dirección electrónica habilitada para tal fin: es-atosconsulting@atosorigin.com.

El pasado 1 de junio de 2008 veía la luz, de la mano de la Organización Internacional de Normalización (International Organization for Standardization, ISO) y de la Comisión Electrotécnica Internacional (International Electrotechnical Commission, IEC),  la norma ISO/IEC 38500:2008. Corporate Governance of Information Technology.

Por primera vez, una norma de alcance internacional trataba, de manera central, el tema del Gobierno Corporativo de las Tecnologías de la Información. Habían tenido que pasar diez años desde la creación, en 1998, del Instituto para la Gobernanza de las Tecnologías de la Información (Information Technology Governance Institute, ITGI) por parte de ISACA, la antigua Asociación para el Control y la Auditoría de los Sistemas de Información (Information Systems Audit and Control Association); y había transcurrido, también, casi una década desde que el término “IT governance” apareciese, por vez primera, en el título de un trabajo académico de investigación de naturaleza técnica/empresarial: fue el caso del artículo “Arrangements for information technology governance: a theory of multiple contingencies” (1), firmado tal día como hoy, hace otros diez años  – el 1 de junio de 1999 -,  por los profesores Vallabh Sambamurthy y Robert W. Zmud.

Sin embargo, la “38500” no constituía la primera iniciativa normalizadora en el ámbito del Buen Gobierno Corporativo de las TIC. Ya en 2002, un grupo de “pioneros” australianos y neozelandeses, principalmente, iniciaron un proyecto, bajo la tutela de la entidad australiana de normalización, Standards Australia, que daría lugar a la publicación oficial, el 31 de enero de 2005, de la norma nacional australiana AS 8015-2005: Corporate governance of information and communication technology. De hecho, sería esta norma la que marcaría el camino para la aparición, tres años y medio después, de la norma internacional, cuyo primer aniversario se celebra en el día de hoy.

El citado camino pasó por la adopción de la norma australiana, por parte del Comité Técnico Conjunto JTC1 de ISO/IEC, como borrador de norma internacional (Draft International Standard, DIS), mediante procedimiento de tramitación rápida. De este modo, el borrador ISO/IEC DIS 29382 (numeración provisionalmente asignada a la nueva norma) fue votado y aprobado por los organismos nacionales de normalización, tanto de ISO, como de IEC. En el caso de España, este papel correspondió a la Asociación Española de Normalización, AENOR. En mayo de 2008, la norma ISO/IEC 29382 fue renombrada con la que habría de ser su numeración definitiva: ISO/IEC 38500. Finalmente, se publicó unos días después, el 1 de junio.

Hoy día ISO/IEC 38500:2008 se configura como una norma internacional, de alto nivel (no entra en detalles técnicos), basada en principios (establece seis principios para el buen gobierno corporativo de las TI: responsabilidad, estrategia, adquisición, rendimiento, conformidad y conducta humana) y de naturaleza asesora, esto es, trata de ofrecer directrices (aconseja) sobre el papel que deben asumir los órganos de gobierno de las organizaciones en relación al uso que, en ellas, se hace de las TI.

El ojetivo de la norma pasa, precisamente, por ayudar a aquellos que ocupan los niveles más altos dentro de las organizaciones (miembros de los consejos de administración, u otros) a comprender y cumplir con sus obligaciones legales, regulatorias y éticas, respecto al uso que se hace de las TIC en sus propias entidades.

En ese sentido, cabe subrayar que la norma lleva un año difundiendo y aclarando el verdadero significado de la expresión “gobierno corporativo de las TIC”, recordando que éste deriva del concepto de Gobierno Corporativo y que, como éste, tiene más que ver con comportamientos y aspectos éticos  – responsabilidad, conformidad y conducta humana -,  que con procesos tecnológicos, como ya se ha insistido desde estas mismas páginas.

¡Ojalá el mercado termine siendo capaz de comprender la esencia del mensaje!

 

(1) Sambamurthy V. y Zmud, Robert W. “Arrangements for information technology governance: a theory of multiple contingencies“. MIS Quarterly. Vol. 23. Nº 2, págs. 261-290, 1 de junio de 1999.