Presumiblemente, con este texto de 2002, Manolo Palao introducía, por vez primera, en la bibliografía en español sobre TI, el término ‘gobernanza‘. Algunas traducciones de documentos en inglés de la época habían optado, hasta entonces, por variantes como ‘gobernabilidad‘, o, directamente, ‘gobierno‘.

El citado hecho convierte en perfectamente prescindible, al menos por hoy, la breve introducción  -justificación, casi-  con que Gobernanza de TI acompaña la publicación de cada nuevo ”Texticulillo™”.

 

Texticulillo™ nº 9: El Burro Flautista y la Auditoría de Sistemas (1)(2)

Si hay un antes y un después en la Auditoría de Sistemas de Información y Tecnologías de la Información y las Comunicaciones (ASITIC), ese momento lo marca la publicación, en 1996, de CobiT.

CobiT es un instrumento de gobernanza (3) de los SITIC puesto a disposición de directivos y auditores para facilitar el buen gobierno y el control de los sistemas de que se ocupan.

Es promovido y gestionado por el IT Governance Institute (Instituto para la Gobernanza de los SITIC), a su vez, parte de ISACA, la asociación de los profesionales del control y la auditoría de los sistemas de información (4).

Actualmente en su tercera edición (5) y con una dinámica de crecimiento y mejora continuados, una gran parte de CobiT se ha constituido en “norma abierta”  –open standard-,  que cualquier interesado puede descargar (http://www.isaca.org/cobit) y adaptar a su circunstancia.

No cabe, en este espacio, una descripción pormenorizada de CobiT y sus ventajas.  Cualquier lector interesado puede encontrar más detalles en el sitio web indicado. Quiero limitarme a señalar algunos aspectos que me parecen de particular relevancia.

El giro copernicano que CobiT ha supuesto es que ha planteado la gestión de la totalidad de los SITIC al servicio de la empresa  -u organismo-  dando realidad así, en esta área más modesta, a la famosa exclamación de ‘le Tigre’ Clemençeau (1841-1929): “¡La guerra es demasiado importante para dejarla en manos de los militares!”.

CobiT, con ese enfoque al servicio de la empresa se orienta a “objetivos y procesos de negocio”  -como, por ejemplo, la custodia de los activos-.

Contempla siete criterios básicos acerca de la información: eficacia, eficiencia, confidencialidad, integridad, disponibilidad, cumplimiento de la normativa y fiabilidad.  Considera cinco grandes recursos SITIC: personal, aplicaciones,  tecnología, instalaciones y datos (6).

Se estructura en cuatro grandes áreas  -Planificación y Organización, Adquisición e Implantación, Prestación del Servicio y de la Asistencia, Monitorización-  que contienen treinta y cuatro procesos  -“objetivos de control de alto nivel”-,  que se desglosan en trescientos dieciocho “objetivos de control específicos” (7), por debajo de los cuales el ASITIC puede establecer sus propios “objetivos de detalle” (incluyendo las checklists  -listas de comprobación-  y pruebas que considere adecuadas).

CobiT es general, sin acepción de plataforma o de sector industrial.

Pero CobiT no está fundamentalmente destinado al ASITIC. CobiT es un Marco de Referencia para la buena gestión  -gobernanza-  de los SITIC. Contiene los citados Objetivos de Control, unas Directrices para Gestores y otras para Auditores.

CobiT podría leerse como las clásicas ‘cantigas de amigo paralelísticas’  en que los mismos versos están destinados alternativamente a él y a ella. Una lectura contiene las recomendaciones  -y esto es, en nuestra opinión, lo más importante-  de gobernanza para los directivos de la empresa y de los SITIC; otra lectura, las correspondientes a los ASITIC.

CobiT ha consultado  -y reitera el compromiso de seguir manteniendo actualizada la correspondencia con-  nada menos que cuarenta y una normas  –de facto y de iure–  internacionales sobre la materia; entre ellas, COSO, Cadbury, COCO o King.

Animo a todos  -directivos, técnicos y auditores-  a que se familiaricen más con el contenido, la estructura y las posibilidades de CobiT. No sorprende la aceptación internacional, ‘en bola de nieve’, que CobiT ha tenido; ni su adopción por empresas y organismos destacados. Se ha predicho  -en un estudio del META Group, de 2001-  que “para 2002-03, más del 30-40 % de las empresas del Global 2000 que desplieguen nuevas tecnologías y entren en nuevos mercados […] habrán adoptado un modelo similar a CobiT […]”.

Como dice ISACA: “La gobernanza de los SITIC es un buen negocio”.

Para terminar, como advertencia a quienes, por casualidad, puedan pretender realizar una ‘auditoría informática’, simplemente armados de una mera checklist, vaya el último verso de la fábula ‘El Burro Flautista’ de Tomás de Iriarte (1750-1791), publicada en 1782:

Sin regla del arte,
borriquitos hay
que una vez aciertan
por casualidad”.

 

Artículos relacionados

  1. Riesgo y Auditoría de Sistemas (por Manolo Palao)
  2. Fraude y Auditoría de Sistemas (por Manolo Palao)
  3. Evidencia y Auditoría de Sistemas (por Manolo Palao)
  4. Competencia y Auditoría de Sistemas (por Manolo Palao)
  5. Independencia y Auditoría de Sistemas (por Manolo Palao)
  6. Teseo y la Auditoría de Sistemas (por Manolo Palao)
  7. Juvenal y la Auditoría de Sistemas (por Manolo Palao)
  8. Arquímedes y la Auditoría de Sistemas (por Manolo Palao)
  9. Confianza en, y valor de, los sistemas de información

 

(1) Copyright 2002-2010, Manolo Palao, CGEIT, CISM, CISA, CobiT Foundation Certificate, Accredited CobiT Trainer.

(2) Publicado inicialmente en el invierno de 2002 a 2003 por la Asociación de Auditores y Auditoría y Control de los Sistemas y Tecnologías de la Información y las Comunicaciones (ASIA)  -hoy, Capítulo 183 de ISACA-.

(3) Nota de Manolo Palao: Voz recogida en el Diccionario de la Real Academia Española de la Lengua (DRAE). En su segunda acepción, sustantivo femenino anticuado, acción y efecto de gobernar o gobernarse.

(4) Si bien, como indica el autor, el objetivo fundacional de la Asociación fue atender las necesidades de sus miembros  -profesionales del control interno y de la auditoría de los sistemas de información-,  en los últimos años, aquella ha ampliado su audiencia objetivo, dirigiendo su actual oferta de servicios a todo profesional con intereses en torno a  las Tecnologías de la Información.

(5) El modelo CobiT vio la luz en su 3ª Edición en julio de 2000, para ser sustituido, en noviembre de 2005, por CobiT 4.0. Actualmente, y desde abril de 2007,  la versión en vigor es la 4.1, a la espera del, ya próximo, CobiT 5.

(6) CobiT 4 redujo los recursos de TI a cuatro grupos: personas, aplicaciones, información e infraestructuras.

(7) De nuevo, el autor ofrece una descripción de la versión de CobiT vigente en aquella época (2002). Las ediciones posteriores redujeron levemente el número total de “objetivos de control específicos”, colocándolo en torno a los dos centenares.

Anuncios

Gobernanza de TI les acerca, de nuevo, las reflexiones del veterano maestro Manolo Palao que ya disfrutaran, en la postrimerías del año 2002, los entonces miembros de la madrileña Asociación de Auditores y Auditoría y Control de los Sistemas y Tecnologías de la Información y las Comunicaciones (ASIA)  -hoy, Capítulo 183 de ISACA-.

El autor centra su discurso en los aspectos más operativos de la profesión de Auditor de los Sistemas de Información, de la que la toma de evidencias forma parte inexcusable.

Igualmente inexcusable debería resultar, para quienes están a cargo de dirigir y controlar   -gobernar-  el uso que de tales sistemas se hace dentro de las organizaciones, el hecho de dotarse de mecanismos de medición que les permitieran evidenciar su rendimiento, sustanciando con ello, el verdadero grado en que las Tecnologías de la Información contribuyen a la generación de valor para sus respectivas entidades.

¡Evidencien Uds. mismos la sustancia de este sexto “texticulillo”!

 

Texticulillo nº 6: Evidencia y Auditoría de Sistemas (1)(2)

El Auditor de Sistemas de Información y de Tecnologías de la Información y las Comunicaciones (ASITIC) ha de presentar evidencias.

Según la Norma 060.020 (3) de ISACA (Information Systems Audit and Control Association): “Durante la auditoría, el auditor ha de obtener evidencia suficiente, fiable, pertinente y útil para cumplir con eficacia los objetivos de la auditoría. Los hallazgos y conclusiones de la auditoría tienen que basarse en análisis e interpretaciones adecuados de esa evidencia”.

El ASITIC, durante su auditoría, debe, pues, recoger información o generar  pruebas  -demostraciones-  objetivas y, preferiblemente, reproducibles.

Las pruebas disponibles para el ASITIC pertenecen generalmente a dos categorías: pruebas de cumplimiento y pruebas substantivas.

Las pruebas de cumplimiento tienden a evaluar si un control formalmente existente (por ejemplo, “Los programas en pruebas y en explotación se mantendrán en entornos físicos, o lógicos, claramente separados”) se cumple. Obtener evidencia en casos como éste puede hacerse mediante entrevistas, muestreos, análisis de directorios, etc.

Las pruebas substantivas suelen requerirse cuando en las pruebas de cumplimiento se han detectado incumplimientos, o cuando los controles formales se consideran insuficientes, y la materialidad  -importancia relativa-  del tema lo aconseja. En estas pruebas  -más costosas-  se intenta evaluar el impacto real en la organización del incumplimiento o debilidad detectados.

Para realizar las pruebas substantivas, el auditor dispone de una combinación de técnicas o herramientas de muestreo y análisis estadístico; de CAATT (Técnicas y Herramientas de Auditoría Asistida por Ordenador) que pueden permitir, por ejemplo, reproducir independientemente los cálculos de un programa o reclasificar los contenidos de una base de datos; de “circularizaciones” (confirmaciones externas de saldos); etc.

Es el juicio discrecional del ASITIC el que debe definir el plan de auditoría  -basado en el conocimiento de la empresa y en un estudio preliminar de riesgos-;  el que debe seleccionar, o diseñar, y efectuar las pruebas  -de cumplimiento y, en su caso, substantivas-;  y el que debe reflejarlo en las conclusiones de la auditoría  -y, en todo caso, en los ‘papeles de trabajo’-.

 

Artículos relacionados

  1. Competencia y Auditoría de Sistemas (por Manolo Palao)
  2. Independencia y Auditoría de Sistemas (por Manolo Palao)
  3. Teseo y la Auditoría de Sistemas (por Manolo Palao)
  4. Juvenal y la Auditoría de Sistemas (por Manolo Palao)
  5. Arquímedes y la Auditoría de Sistemas (por Manolo Palao)
  6. Confianza en, y valor de, los sistemas de información

 

(1) Copyright 2002-2010, Manolo Palao, CGEIT, CISM, CISA, CobiT Foundation Certificate, Accredited CobiT Trainer.

(2) Publicado inicialmente en el invierno de 2002 a 2003.

(3) El autor hace referencia aquí a la codificación de Normas de Auditoría vigente en aquella época (2002-2003). Hoy dicha referencia ha quedado sustituida por la norma S14. Audit Evidence de ISACA.

Como ya ocurriera con la entrega anterior, dedicada a la independencia, este nuevo “texticulillo” de Manolo Palao  -el quinto-  vuelve a poner el foco en uno de los atributos que deberían acompañar a todo auditor de sistemas de información: la competencia profesional.

En relación a este asunto, Gobernanza de TI reproducía, hace unos meses, en estas mismas páginas, el deseo expresado por D. Juan Ramón Quintás Seoane de tecnificar los consejos de administración de las organizaciones; esto es, de poblarlos con individuos dotados de las oportunas competencias. Como recordarán, el Sr. Quintás se refería a competencias vinculadas a la Economia y el Derecho.

Manolo Palao lleva esa misma necesidad, con sus peculiaridades, al terreno de los auditores, en tanto que pieza clave de todo sistema de Gobierno Corporativo de TI.

Disfruten de sus nuevas reflexiones; pero no olviden la audiencia particular para la que fueron originalmente escritas: la comunidad de miembros de la entonces llamada Asociación de Auditores y Auditoría y Control de los Sistemas y Tecnologías de la Información y las Comunicaciones (ASIA). En este sentido, les ruego, una vez más, que sepan disculpar las referencias del autor a la actualidad y contexto particulares de aquellos momentos.

 

Texticulillo nº 5: Competencia y Auditoría de Sistemas (1)(2)

El Auditor de Sistemas de Información y de Tecnologías de la Información y las Comunicaciones (ASITIC) ha de ser profesionalmente competente, en su cometido.

Tratar sobre la competencia profesional es siempre una tarea ardua, dada la complejidad del tema y los muchos intereses que hay en juego. En el caso de los ASITIC, es aún más ardua, como me propongo razonar mas adelante.

El DRAE define ‘competencia’  -en la acepción que, aquí, interesa-  como ‘aptitud’, ‘idoneidad’.

Por ‘profesional’ quiero entender, aquí, a quien desempeña una actividad, basada en conocimientos y habilidades; en la cual, el juicio discrecional  -en línea con las “buenas prácticas generalmente aceptadas”-  prima sobre la mera, y rutinaria, aplicación de procedimientos.

Esa definición no concuerda plenamente con otras más canónicas al uso (ostentar ciertas titulaciones y pertenecer a ciertos colegios), pero  -en terminología de conjuntos-  la intersección de ambas no es vacía. Y cuadra perfectamente con los ASITIC, que son nuestro tema.

El problema de discutir la competencia-aptitud-idoneidad de los ASITIC supera al de una gran mayoría de otras profesiones, dado su muy marcado carácter transdisciplinar.

Lo transdisciplinar es propio de nuestras sociedades post-modernas  -sin olvidar figuras señeras como L. da Vinci, H. Simon, e incluso B. Russell-.  Así, no sorprenden híbridos como bio-físico, agro-alimentario, o psico-acústico. Pero se trata, en general, de espacios de intersección de dos  -o unas pocas-  disciplinas, o subespecializaciones de una sola.

Lo que caracteriza, en cambio, al ASITIC es que ha de ser una ‘sección transversal’  -ciertamente, selectiva y esquematizada-  de todas las disciplinas que intervienen en los Sistemas de Información y las Tecnologías de la Información y las Comunicaciones, que son unas cuantas y con cambios acelerados.

La propia y prolija expresión completa que resume el acrónimo ASITIC es ya una indicación de esa extensión de disciplinas; aún no habiéndose explicitado otras obvias, como  -sin resultar exhaustivos-:  el derecho, la estrategia empresarial, la organización, la racionalización del trabajo, la gestión de proyectos o la criptografía.

Hay muchas formas complementarias de obtener reconocimiento personal en las profesiones:

  1. Inexplicable (azar, mafias, …).
  2. Autoproclamación (Buda, Colón, Pinochet, …).
  3. Creencia de la opinión pública (Madonna, Aznar, …).
  4. Reconocimiento privado (empresa, asociación) [“asimilado a Técnico de Grado Superior”, “No hay como Paco para reparar lavadoras”].
  5. Titulación de Formación Vocacional (fontanero, …).
  6. Titulación Gremial (Oficial de 2ª, …).
  7. Titulación Universitaria (Licenciado en Derecho, …).
  8. Regulaciones Oficiales (Abogado, Traductor Jurado, …).
  9. Certificación de Persona como Profesional, por Entidad de Certificación (Auditor Jefe de Calidad, …).
  10. Práctica con éxito (Bofill, …).
  11. Oposiciones y Concursos (Bombero, Campeón de Mus, …).

Dejamos al sagaz lector  -probablemente sobrado de referencias directas-  la comparación de las ventajas e inconvenientes de unos y otros métodos.

En el caso del ASITIC, el enfoque más recomendable, por su rapidez, objetividad, flexibilidad, pragmatismo y ratio coste/eficacia nos parece el de la Certificación de Personas como Profesionales, por una Entidad de Certificación.

El modelo indiscutible es el de ISACA (Information Systems Audit and Control Association)  -probablemente la mayor y más prestigiada asociación profesional de ASITIC-  que administra la certificación CISA, la cual acredita de modo continuado la idoneidad del ASITIC.

Naturalmente, puede ocurrir, incluso con frecuencia, que un ASITIC competente se enfrente a un tema o área en que no se considera competente. El Código de Ética Profesional de ISACA y su Norma 040.010 (3) le obligan a no entrar directamente en esa área. El enfoque recomendado es buscar un experto en la misma  -incluso no ASITIC-,  independiente, delegarle formalmente un mandato específico y reflejar la delegación y sus resultados en la documentación.

 

Artículos relacionados

  1. Independencia y Auditoría de Sistemas (por Manolo Palao)
  2. Teseo y la Auditoría de Sistemas (por Manolo Palao)
  3. Juvenal y la Auditoría de Sistemas (por Manolo Palao)
  4. Arquímedes y la Auditoría de Sistemas (por Manolo Palao)
  5. Promoviendo el Buen Gobierno Empresarial [… ¿de las TI?]
  6. Confianza en, y valor de, los sistemas de información

 

(1) Copyright 2002-2010, Manolo Palao, CGEIT, CISM, CISA, CobiT Foundation Certificate, Accredited CobiT Trainer.

(2) Publicado inicialmente en el invierno de 2002 a 2003.

(3) El autor hace referencia aquí a la codificación de Normas de Auditoría vigente en aquella época (2002-2003). Hoy dicha referencia ha quedado sustituida por la norma S4. Competency de ISACA.

La norma ISO/IEC 38500:2008. Corporate governance of intormation technology recoge entre sus principios generales de Buen Gobierno dos que, de forma clara, inciden en atributos como la imputabilidad, la profesionalidad, la integridad, la honestidad, la ética, … (la enumeración podría continuar), de aquellos individuos involucrados, en algún sentido, en los sistemas de gobernanza de las TIC. Se trata, como ya habrán adivinado, del principio de responsabilidad y, particularmente, del principio de conducta humana.

El “texticulillo” de Manolo Palao que hoy les acerca ‘Gobernanza de TI‘ detiene su atención, precisamente, en esos principios, al recordar la transcendencia y el valor fundamental de la independencia y el comportamiento personal de los auditores de sistemas, en el ámbito particular de las actividades de Control de las TI y, por extensión, en el de un marco general de  Buen Gobierno Corporativo de TI.

Como ya se advirtiera en la presentación de esta serie, no deberán extrañar las referencias del autor a la actualidad y contexto particulares del momento en que fueron escritos  -aproximadamente, el bienio comprendido entre el otoño de 2002 y el inverno de 2004-  y a la audiencia a la que fueron, originalmente, dirigidos:  la comunidad de miembros de la entonces llamada Asociación de Auditores y Auditoría y Control de los Sistemas y Tecnologías de la Información y las Comunicaciones (ASIA).

Este cuarto “texticulillo” es, más que ninguno de los reeditados hasta ahora, un claro exponente de lo anterior.

 

Texticulillo nº 4: Independencia y Auditoría de Sistemas (1)(2)

El sentido común organizativo y diversas normas exigen la independencia  -y apariencia de independencia-  del Auditor de Sistemas de Información y de Tecnologías de la Información y las Comunicaciones (ASITIC).

Hago aquí unas reflexiones sobre este tema de la independencia del ASITIC, aplicables en sus aspectos generales a todas las auditorías, más allá de las de los sistemas de información.

El auditor ejerce una función de control: compara la realidad con un documento normativo, público o privado, que expone cómo se desea que sea esa realidad. Como resultado de esa comparación, objetiva y substanciada con pruebas,  emite una opinión  –”limpia”, o “con salvedades”—  y, eventualmente, unas recomendaciones.

El auditor no puede ser “juez y parte”, por lo que debe ser independiente  -y parecerlo-  del objeto auditado.

Ello implica, por ejemplo, que el ASITIC no puede auditar un sistema de información en cuyo desarrollo haya trabajado  -salvo por su posible contribución a la especificación de los controles y funciones de auditoría incorporados a ese sistema; y otros casos tasados-.  En situaciones de previsible conflicto, el tema debe aclararse por adelantado. La Directriz 020.010.010 de ISACA cubre esto en detalle (3).

Pero además, el ASITIC ha de ser suficientemente independiente de su cliente. La palabra clave aquí es “suficientemente“, dado que es obvio que la total independencia resulta imposible, debido a la necesaria “relación” con el citado cliente.

Esa “relación con el cliente” puede ser laboral  (Auditoría Interna) o profesional (Auditoría Externa). En el primer caso, se formaliza mediante el Estatuto de Auditoría; y, en el segundo, por la Carta de Encargo (o instrumentos equivalentes).

El Estatuto de Auditoría o la Carta de Encargo explicitan el mandato que el auditor recibe y las circunstancias de ese mandato. Detallan el encuadre orgánico del auditor interno y el representante del cliente, para el externo. Deben establecer claramente la responsabilidad, autoridad e imputabilidad de la función ASITIC, así como los objetivos, ámbito, recursos y restricciones del mandato de auditoría.

El encuadre orgánico o el representante del cliente, según sea el caso, cualifican la independencia. En ambos casos, el criterio de oro es que haya una razonable distancia, y superioridad, entre aquellos y el objeto auditado.

Eso supone que el encuadre orgánico  -respectivamente, el representante del cliente-  debe (casi sin excepción) estar en una rama del organigrama distinta de la de la Función Informática, y en un nivel igual o superior a ella.

Además, si como es frecuente, el objeto de la auditoría son sistemas integrados (multi-departamentales), o estratégicos a nivel corporativo, la misma exigencia de distancia y superioridad eleva al encuadre orgánico/representante del cliente a la cima de la estructura empresarial.

La fórmula más recomendable, y la que se está adoptando por las grandes empresas, consiste en que el encuadre orgánico/representante del cliente sea un Comité de Auditoría nombrado en el seno del Consejo de Administración. ¡Esta fórmula maximiza distancia, superioridad y especialización!

Los recientes cambios en los consejos de administración de la Banca española, y las recomendaciones de la SEC en EEUU, siendo mucho más amplios que el tema que aquí nos ocupa, van en la línea de propiciar la independencia.

¡Además de ser independiente, el ASITIC debe parecerlo, por su actitud y circunstancias! Tiene que ser y sentirse independiente como individuo. Ello se logra con profesionalidad; y se potencia y refuerza por el asociacionismo profesional y por las certificaciones profesionales.

ISACA (Information Systems Audit and Control Association) es probablemente la mayor y más prestigiada asociación profesional de ASITIC. Publica un Código de Ética Profesional y unas Normas (en particular, la citada serie 020, relativa a la independencia); y administra la certificación CISA (Certified Information Systems Auditor), que acredita de modo continuado la idoneidad del ASITIC.

Hasta que no se disponga de una certificación más idónea, mejor adaptada a nuestro contexto  –proyecto prioritario para ASIA (4)-,  CISA es la mejor opción disponible.

 

Artículos relacionados

  1. Teseo y la Auditoría de Sistemas (por Manolo Palao)
  2. Juvenal y la Auditoría de Sistemas (por Manolo Palao)
  3. Arquímedes y la Auditoría de Sistemas (por Manolo Palao)
  4. Confianza en, y valor de, los sistemas de información

 

(1) Copyright 2002-2010, Manolo Palao, CGEIT, CISM, CISA, CobiT Foundation Certificate, Accredited CobiT Trainer.

(2) Publicado inicialmente en el invierno de 2002 a 2003.

(3) El autor hace referencia aquí a la codificación de Normas y Directrices de Auditoría vigentes en aquella época (2002-2003). Hoy dicha referencia ha quedado sustituida por la norma S2. Independence y por las directrices G12. Organisational Relationship and Independence y G17. Effect of Nonaudit Role on the IS auditor’s Independence de ISACA.

(4) ASIA, Asociación de Auditores y Auditoría y Control de los Sistemas y Tecnologías de la Información y las Comunicaciones, actual Capítulo de Madrid (183) de ISACA. Esta, tan directa, referencia a la Asociación contextualiza de forma nítida el objetivo y la audiencia a la que iba dirigido el “texticulillo” en su edición original.