¡El tiempo vuela! Sin duda, una afirmación carente de toda originalidad; pero no por ello, menos cierta.

Así lo demuestran los acontecimientos. Hace tan sólo unos días, se conmemoraba, desde estas mismas páginas, el primer aniversario de la constitución de la Comisión para el estudio y el desarrollo del Buen Gobierno Corporativo de las TIC, dentro de las organizaciones, del Capítulo de Madrid de ISACA. Ahora, toca recordar la publicación de la norma ISO/IEC 38500:2008, Corporate Governance of Information Technology, ocurrida hace dos años.

La aparición, en aquellos momentos, de una norma de alcance internacional, como la citada, constituyó, cuando menos, un hito “ilusionante”; y ello, por dos motivos:

  • en primer lugar, el respaldo de ISO no debía, sino suponer la, ampliamente esperada, puesta de largo de una disciplina que había venido cocinándose, durante una década, en los fogones de otras reputadas y respetadas instituciones como el IT Governance Institute, de ISACA, o la Escuela de Dirección Sloan, del MIT; y,
  • por otro lado, la norma, de manera relativamente escueta, pero clara, apuntaba hacia la esencia del concepto de ‘buen gobierno corporativo’, hundiendo su raiz en el “Informe Cadbury“; e identificando, con esa misma nitidez, a los individuos que deberían recoger el mensaje enviado, a duo, por ISO e IEC: los consejeros y miembros de la alta dirección de las organizaciones.

La perspectiva aportada por los dos años transcurridos permite analizar si tales expectativas se han cumplido.

ISO

Con respecto al primer punto, los hechos muestran cómo, lamentablemente, la contribución de ISO no ha sido  -no está siendo-  adecuadamente entendida; dando al traste, al menos de momento, con el deseo expresado desde ‘Gobernanza de TI‘  -“¡Ojalá el mercado termine siendo capaz de comprender la esencia del mensaje!“-  en la crónica publicada hace ahora un año.

Lo que debería haber sido un paso a la mayoría de edad de la disciplina del Gobierno Corporativo de TI  -y un distanciamiento de los ámbitos estrictamente académicos (MIT) y profesional-sectoriales (ISACA)-,  gracias al amplio reconocimiento público de la “marca” ISO, ha devenido en una banalización del mensaje transmitido. Banalización que tiene su origen, como se ha apuntado, en la falta de comprensión de la orientación y objetivos de la norma, como demuestran afirmaciones del estilo: “¡Vaya una norma, si no dice nada!“, o interpretaciones erróneas que tratan de “implantarla” como si de una norma ISO, al uso, se tratase.

Lo que dice la norma

Por supuesto que dice, y mucho. Hay que saber leerla. No debe confundir el hecho de que lo diga en pocas páginas. Quienes realmente deberían leerla  -no parece que lo estén haciendo-  a buen seguro que sabrían interpretar con claridad lo que les dice y sacarle el debido partido. (Ello, básicamente, debido al carácter trivial y de sentido común de los mensajes que encierra).

La propia norma comienza avisando de su intencionalidad, que no es otra que la de “asesorar” a quienes tienen responsabilidades sobre el correcto funcionamiento de las organizaciones, en relación al papel que les toca jugar respecto de las TI  -sustento, en gran medida de la actividad de aquellas-. Y finaliza definiendo y detallando media docena de principios generales para el Buen Gobierno Corporativo de las TIC: responsabilidad, estrategia, inversión, conformidad, rendimiento y comportamiento.

Si Ud. echa de menos un mayor nivel de detalle  -procesos, procedimientos, instrucciones técnicas concretas, …-  para poner esos seis principios en marcha, disculpe la franqueza, pero, claramente, no se encontrará Ud. entre los destinatarios naturales de la norma; o, lo que es, aún, peor, Ud. no se habrá enterado de nada.

Sobre la supuesta “implantación”

Al hilo del anterior comentario, y en el marco general de banalización de la norma, se oye hablar, no pocas veces, de “implantarla”; e, incluso  -los más osados-  de desplegar un sistema de gestión, en torno a ella, como si de una norma de calidad, al uso, se tratase.

Lo que debe hacer Ud. con la norma ISO 38500, o más concretamente, con sus seis principios generales, es adoptarlos; esto es, hacerlos suyos e incorporarlos a la cultura y al día a día de la organización. Como dicen los amigos Manolo Palao y Ricardo Bría (1), una norma como ésta ha de ser sometida a un proceso de ad@ptación (léase, “adoptación“), una combinación de adopción y adaptación a las particularidades micropolíticas de la organización.

Naturalmente, ya vendrá después la necesaria puesta en marcha de una serie de mecanismos [de Buen Gobierno] que faciliten tal “adoptación”.

Optar por un enfoque diferente, no supondrá, sino un alejamiento de la intencionalidad original de la norma y una delimitación del mensaje de Gobierno Corporativo de TI al perímetro del Departamento de Calidad, como se está observando en más de una organización.

Moraleja

Si Ud. quiere llevar el mensaje de Gobierno Corporativo de TI a sus verdaderos destinatarios, hábleles de principios como los citados en este artículo (a lo mejor, tiene suerte y están dispuestos a adherirse a ellos). Si, por el contrario, se conforma con seguir discutiendo con sus iguales en los foros profesionales dispuestos a tal fin, siga ejercitando su memoria e incorporando como parte de su lenguaje la extensa codificación empleada por los cuerpos normativos del panorama internacional.

Los destinatarios

El análisis de la segunda expectativa creada hace dos años con la publicación de la norma ISO/IEC 38500:2008 obliga a reconocer, igualmente, que la comunidad que mejor acogida le ha dado es la conformada por los profesionales de los SSII y las TIC, a los que, como es evidente, no iba estrictamente dirigida.

El vals del Elefante

Fue precisamente ese hecho, esa realidad, la que empujó al australiano Mark Toomey  -co-autor de las normas AS 8015-2005, ISO/IEC 38500:2008 y, más recientemente, AS/NZS 8016(Int):2010–  a escribir su libro “Waltzing with the Elephant“, un intento de transmitir el verdadero significado de la norma ISO 38500, a sus oportunos destinatarios.

La obra, de lectura absolutamente recomendable, nació  -según ha declarado el propio Toomey-  con el objetivo de poner las cosas en su sitio, de ejercer un cierto acto de rebeldía frente a una evidente y aplastante realidad: eran los profesionales informáticos los que, de forma mayoritaria, acudían a los foros de debate abiertos durante la elaboración de la norma (subcomités y grupos de trabajo de Australian Standards, de ISO, …).

Los foros de normalización

ISO ha sabido resolver el problema  -sólo parcialmente-  mediante la creación, a finales de 2008, de un grupo de trabajo específico (WG6), e independiente del resto de subcomités y grupos de trabajo sobre Tecnologías de la Información, que componen el Comité Técnico Conjunto 1 (JTC1), paraguas de todos ellos. El WG6 está dedicado, en exclusiva, al estudio y desarrollo de normativa en torno a la disciplina del Gobierno Corporativo de TI. Ahora sólo falta que ISO sea capaz de atraer al mismo a otros profesionales, procedentes del ámbito de la dirección empresarial.

En España, AENOR, aún no ha dado ese paso. El desarrollo normativo del Buen Gobierno Corporativo en materia de TIC está todavía excesivamente ligado (cercano) al de otras disciplinas no menos importantes en materia de TI, como son las relativas a la Gestión de los Servicios Informáticos; pero cuya forzada “proximidad” no hace sino dificultar la correcta difusión del espíritu de la norma ISO/IEC 38500:2008.

Moraleja

Parafraseando a G. Vaughn Jhonson (2)  -“la Informática es demasiado importante como para dejarla en manos de los informáticos“-,  cabe sugerir que ISO, AENOR y los demás organismos normalizadores deberían echarnos  -disculpen esta gotita de protagonismo-  de estos grupos de trabajo, a todos los informáticos, procediendo a su refundación y habilitando la entrada en ellos, únicamente, a individuos procedentes de los órganos de gobierno de las corporaciones privadas y entidades de la Administración.

En suma, ¿cuál habrá de ser el camino?

Aún reconociendo la trascendencia de hitos como la publicación de la norma ISO 38500, tal vez, la manera más adecuada de llegar a los miembros de los Consejos de Administración y a los responsables de dirigir las organizaciones, no haya de venir por ahí, y sí por la vía de otros esfuerzos reguladores/normativos como podría ser una revisión y mayor desarrollo de los Códigos de Buen Gobierno Corporativo. El Código e Informe “King III” en Sudáfrica constituyen un claro ejemplo de ello.

De otro modo, habría que preguntarse, también, ¿qué le está faltando a la Gobernanza de TI para alcanzar los niveles de identificación y aceptación que, a nivel directivo, están teniendo otras disciplinas como la Sostenibilidad y la Responsabilidad Social Corporativa? (Por cierto, ámbitos para los que también existe, dentro del mundo ISO, un determinado desarrollo normativo).

 

Artículos relacionados

  1. Entrevista con Mark Toomey, autor de “Waltzing with the Elephant”

(1) Palao García-Suelto, Manolo y Bría Menéndez, Ricardo. “Implantación de Buen Gobierno de los SI y las TIC ad@ptando COBIT, ITIL y VAL IT: Una caricatura respetuosa“. Novática, nº 191, págs. 39 y ss. Enero-febrero de 2008. URL:: http://www.ati.es/novatica/2008/191/Nv191-Presentacion.pdf.
(2) Vaughn Jhonson, G. “Information Systems. A Strategic Approach“. Mountain Top Publishing. Nebraska, 1990.
Anuncios

Lo cierto es que no se ha hecho esperar. A finales de enero, Gobernanza de TI‘ les recomendaba un poquito de paciencia ante el, más que previsible, advenimiento de noticias sobre el futuro CobiT 5.

¡Esas noticias ya están aquí!

El pasado día 22 veía la luz el documento “CobiT 5 Design Paper. Exposure Draft“, un borrador, sometido a revisión pública hasta el próximo 12 de abril de 2010, en el que se presentan las líneas generales del que será futuro modelo de ISACA para el Gobierno Corporativo de TI.

En sus poco más de diez páginas, el informe justifica la necesidad de abordar en este momento la mencionada actualización; repasa los antecedentes internacionales más recientes y relevantes en el ámbito de referencia; muestra la orientación futura del nuevo modelo; y, ofrece un esbozo de los que habrán de ser sus principales componentes.

Un ¿nuevo? alcance: la rendición de cuentas sobre el (buen o mal) gobierno de las TI trasciende al CIO [como ya se sabía]

Desde las primeras líneas del texto, ahora publicado, se deja clara una idea: no ha de hablarse de un ‘gobierno de TI, desde TI‘, sino de un ‘gobierno de TI, desde la Empresa‘ (cabría decir “desde el negocio” o, mejor dicho, “desde la alta dirección de ese negocio u organización“). Este “nuevo” enfoque que, en el ámbito de ISACA, viene promoviéndose en los últimos meses a través de la adopción de la expresión “Enterprise Governance of IT” (Gobernanza Empresarial de TI) tuvo su puesta de largo con el acertado artículo “Moving from IT Governance to Enterprise Governance of IT“, firmado por los profesores de la Escuela de Negocios de la Universidad de Amberes (UAMS), Prof. Dr. D. Steven De Haes y Prof. Dr. D. Wim van Grembergen (1), en el número de mayo-junio de 2009 de la revista ISACA Journal.

Esta “aclaración” no constituye sino un reconocimiento del error  -acaso, interesado-  que durante más de diez años (1996-2006) se cometió al considerar CobiT como un modelo para el Gobierno Corporativo de TI, cuando, en sentido estricto, no lo era; o, al menos, no de forma plena. [En este punto, también, se confundirán aquellos que, aliviados, piensen: “¡Siempre lo he dicho, CobiT es un marco de Gestión de TI, como otros que ofrece el mercado!“]. Ni una cosa, ni la otra. CobiT [4.1] no es un modelo, completo, para el Gobierno de TI; pero tampoco es un modelo para la Gestión de TI. CobiT [4.1] es, en realidad, un modelo para el alineamiento TI-Negocio (esa es su principal aportación, frente a otros marcos existentes  -recuérdese su, probablemente poco conocida, jerarquía “objetivos de negocio>objetivos de TI>procesos de TI”-);  que incorpora, si se quiere decir así, un marco de referencia para la Gestión de TI (su, esta vez sí,  famosa, jerarquía “dominios>procesos>actividades”) (2).

El lanzamiento, en 2006, del modelo Val IT: Basado en CobiT, supuso, por vez primera, un cambio en la orientación original. A diferencia de lo que venía ocurriendo con CobiT, Val IT involucraba a nuevos actores dentro del plantel corporativo. Un rápido vistazo a las matrices RACI que acompañaban a ambos modelos permitía observar cómo, en el primer caso, CobiT centraba su discurso en torno al CIO (Director de Informática), mientras que Val IT ampliaba el campo de visión, incorporando nuevas figuras del organigrama empresarial, ubicadas “por encima”, y/o a los lados, de la Función Informática. Este hecho habría de repetirse, en 2009, con la aparición de Risk IT: Basado en CobiT.

Foco en el lado de la demanda: el “uso de las TI

Un segundo rasgo que delata la evolución del modelo CobiT, en la versión que se está cocinando, es la referencia explícita que, reiteradamente, se hace al “uso de las TI“. La fuente de esta nueva orientación  -CobiT había sido hasta ahora un modelo muy centrado en el lado de la oferta de TI-  ha de buscarse, sin duda, en la norma internacional “ISO/IEC 38500:2008, Corporate governance of IT“, de la cual también se toman los conceptos de evaluar, dirigir y supervisar ese mismo uso de las TI.

Sin embargo, la norma ISO no es la única referencia surgida tras la aparición de la, aún vigente, versión 4.1 del modelo CobiT, que se menciona en el borrador publicado: el “Código King de Gobierno Corporativo para las empresas sudafricanas, 2009” (King III) es, asimismo, citado explícitamente.

Cabe, por último, apuntar que ese enfoque más holístico, que trasciende el perímetro del área de TI y que pone el acento, con toda nitidez en el “uso de las TI”, tiene, también, su antecedente en la iniciativa de ISACA “Llevando el Gobierno más Allá” (del inglés, “Taking Governance Forward“, TGF), que verá la luz en breve, y mediante la cual se ha tratado de revisar el concepto de Gobierno Corporativo (Gobierno de la Empresa), como supraconjunto del Gobierno Corporativo de TI, considerando las necesidades de los diferentes grupos con intereses en una organización. Con el ánimo de descubrir y, al mismo tiempo, cubrir, tales necesidades, tanto TGF, como el nuevo CobiT 5 tratarán de dar respuesta a interrogantes como: ¿Por qué surgen tales necesidades (qué metas persigue cada grupo de interés)? ¿Cómo alcanzarlas (qué mecanismos se habrán de habilitar para ello)? ¿Dónde, dentro de la estructura de la organización, actuarán los implicados? ¿Qué habrá de hacer cada uno de ellos? ¿Quiénes serán (qué perfiles tendrán)?

¿El fin de los modelos Val IT y Risk IT?

El documento-borrador corrobora la anunciada perspectiva global del nuevo CobiT, lo que lo convertirá en un metamodelo construido sobre la cimentación disponible actualmente: CobiT 4.1, Val IT 2.0 y Risk IT (sin olvidar otras referencias como BMIS e ITAF). Dicho de otro modo, no ha sido hasta contar con esos tres marcos  -orientados individualmente a aspectos particulares de la gobernanza de TI: alineamiento, valor y riesgo-,  cuando ISACA ha podido abordar el desafío de ofrecer un verdadero marco de referencia COMPLETO para el Gobierno Corporativo de TI.

La integración bajo un mismo paraguas, de nombre ‘CobiT 5’, de lo que ahora se demuestra que no eran sino “retales” (vistas parciales) de un enfoque holístico hacia la gobernanza de TI, plantea ciertas dudas sobre la continuidad y la validez de los esfuerzos dedicados a la promoción de las marcas “Val IT” y “Risk IT”.

Gobernanza de TI‘ ha tenido ocasión de plantearle esta cuestión al mexicano D. José Ángel Peña Ibarra, Vicepresidente Internacional de ISACA, en el transcurso de su última visita a España, hace tan sólo unos días. La conversación, mantenida de manera informal, durante la jornada-seminario sobre “Buen Gobierno Corporativo” que organizó, el pasado día 17 de marzo, la Cátedra ‘Oesía’ de Buen Gobierno TIC de la Universidad de Deusto, permitió concluir que, en ningún caso, los diferentes marcos existentes van a quedar integrados en una única referencia documental; esto es, ISACA seguirá ofreciendo una colección de documentos independientes (y, al mismo tiempo, firmemente interrelacionados) para los distintos dominios del gobierno de TI. Sin embargo, el tema del mantenimiento, o no, de las marcas es un aspecto que, al parecer, “aún se está debatiendo“.

La publicación, unos días después de producirse dicha conversación, del borrador sobre el futuro diseño de CobiT 5, ha permitido arrojar un poco más de luz sobre este asunto: según el diseño previsto, la aparición de unas u otras publicaciones de la familia CobiT 5 dependerá de la nueva arquitectura del modelo, cuyo componente central será la Base de Conocimiento de CobiT. Este elemento, unido al enfoque ‘multi-grupo de interés’ definido a partir de la iniciativa TGF, permitirá publicar documentos específicos para los diferentes enfoques y audiencias:

  • publicaciones por objetivos de la Gobernanza de TI (alineamiento, valor, riesgo, …);
  • publicaciones por mecanismos para la puesta en marcha de la citada Gobernanza de TI (procesos de TI, recursos de TI, …);
  • publicaciones por Criterios de Información (seguridad, calidad, …), los cuales han sufrido una evolución hacia un completo y complejo Modelo de Referencia de la Información, aún en desarrollo;
  • publicaciones por entidades organizativas (áreas de TI, oficinas de proyectos, áreas de Gestión de los Servicios de TI, …);
  • publicaciones por perfil de responsabilidad (órganos de gobierno, equipos de dirección/gestión, profesionales de la auditoría, …); y,
  • publicaciones con guías prácticas detalladas.

Esto, sin duda, corrobora las palabras del Sr. Peña. Sin embargo, la aparición, entre las futuras publicaciones, de nombres como “CobiT 5 for Value” o “CobiT 5 for Risk” ponen en seria duda la continuidad de los conocidos productos “based on CobiT” (basados en CobiT), Val IT y Risk IT;  al menos, tal y como hoy se conocen. Máxime si se recuerdan las palabras pronunciadas, hace un año, por la entonces Presidenta Internacional de ISACA, Lynn Lawton, cuando anunciaba, como parte de la Estrategia 2009-2011, el respaldo a la marca CobiT, de cara a las futuras versiones y sus derivados, por resultar un activo verdaderamente conocido, y reconocido, por el mercado; mucho más que otros productos de la Asociación.

Finalmente, un tono de color [verde] para dar un aire fresco al modelo

La iniciativa de ISACA de modernizar su marco CobiT será, asimismo, aprovechada, según anuncian desde la propia Asociación, para coger el tren de la sostenibilidad, de la mano de la llamada “Informática Verde”, que de alguna manera quedará incorporada al futuro modelo.

De ese mismo modo, también otras disciplinas como la Arquitectura de Empresa  -con una imperiosa necesidad de popularizarse, al menos, en el panorama corporativo español-,  el desarrollo de los RRHH y la gestión del cambio organizativo, o cambio cultural, serán nuevas áreas donde CobiT 5 pondrá el acento de manera especial.

 

Dentro de un año se podrá degustar la primera hogaza completa: un documento general de presentación y descripción detallada del nuevo marco de referencia de CobiT, edición 5; que incluirá unas primeras indicaciones para su adopción.

¡Más paciencia!

 

Artículos relacionados

 

(1) Van Grembergen y De Haes han firmado, también en 2009, la obra “Enterprise Governance of Information Technology: Achieving Strategic Alignment and Value“, publicada por Springer.

(2) Lamentablemente, haber dedicado [CobiT 4.1] sólo dos páginas a lo primero y doscientas a lo segundo no ha contribuido, en exceso, a aclarar este punto.

Sin embargo, el nuevo Modelo de Procesos Revisado que incorporará CobiT 5 identifica, directamente, como procesos de Gestión a aquellos incluidos en los, hasta ahora, conocidos como dominios PO, AI, DS y ME  -previsiblemente, cambiarán de nombre-.

Adicionalmente, CobiT 5 incorporará tres nuevos procesos de Gobierno  -Evaluar, Dirigir y Supervisar-,  en línea con lo que recoge la normativa internacional en este ámbito.

Dicha pseudo-integración de la norma ISO 38500 dentro del propio modelo constituirá, sin duda, un perfecto catalizador de  -y un respaldo a-  la adopción conjunta de la norma y de CobiT; iniciativa que algunas conocidas e importantes organizaciones ya están abordando.

Como se había anunciado desde estas mismas páginas, el pasado viernes, día 20 de noviembre, llegaba a la Terminal 4 (T4) del Aeropuerto de Madrid-Barajas el vuelo de Iberia IB3515, procedente de Frankfurt (Alemania), con un esperado pasajero. A eso de las 10:45 de la mañana, y tras más de veinticinco horas de viaje, aparecía en el hall de llegadas de la citada terminal el especialista australiano en Gobierno Corporativo de TI, Mark Toomey.

La escala madrileña del autor de “Waltzing with the Elephant. A comprehensive guide to directing and controlling information technology” formaba parte de un periplo más amplio, iniciado en Perth (Australia) y que continuaría, tras su paso por Madrid, en las ciudades de Frankfurt, donde, esta misma semana, tenía previsto ofrecer un curso de dos días de duración sobre “Fundamentos del Gobierno Corporativo de TI“, y Singapur, a donde acudiría con motivo de la reunión plenaria del grupo de trabajo JTC1/WG6 de ISO. Todo ello, antes de su regreso definitivo a Melbourne (Australia).

Gobernanza de TI ha tenido la oportunidad de acompañar al Sr. Toomey durante gran parte de los casi seis días que ha durado su estancia en Madrid y ha tenido ocasión de compartir e intercambiar con él una serie de impresiones sobre el Gobierno Corporativo de las Tecnologías de la Información y las Comunicaciones; sobre cómo el mercado  -y quiénes dentro de este mercado-  están siendo más proclives a acoger el mensaje subyacente a esa “nueva” disciplina; y, sobre el previsible desarrollo que, en este campo, se adivina.

Los párrafos que siguen tratan de ofrecer un resumen de tales reflexiones. El formato elegido en esta ocasión para presentar dichos comentarios  -una entrevista-  ayudará, sin duda, a trasladarles a Uds. los mensajes del Sr. Toomey y hará más dinámica la lectura de tales conclusiones.

Gobernanza de TI: Estimado Sr. Toomey, ¡bienvenido! Su primer viaje a España. ¿Qué impresiones se está llevando en estas primeras horas, casi minutos, desde su llegada?

Mark Toomey: Muchas gracias. Lo cierto es que lo que, apenas, he podido contemplar desde el avión no parece diferir mucho del paisaje australiano. Al llegar a Madrid hemos visto cómo, bajo nosotros, se extendía un amplio manto de color pardusco. Una tonalidad muy similar a la que, mayoritariamente, se puede observar en tierras australianas. La geología y la historia natural de la isla-continente han ayudado; el comportamiento del hombre blanco, tras su llegada, en relación al uso de los recursos naturales y del entorno, y la deforestación, han hecho el resto. Del mismo modo, confío en poder encontrar similitudes equivalentes entre ambos paises, en lo relativo al uso que se hace de las TI en el seno de las organizaciones y a la inquietud por ejercer sobre aquellas una dirección y control adecuados.

GdTI: Obviamente, es esto último lo que ha motivado su visita a España; pero, ¿podría comentar cómo nace su preocupación y qué pretende con ello?

MT: Tras una larga carrera en el mundo de las TI  -gran parte de ella en el sector financiero-,  a principios de esta década comencé a involucrarme y a colaborar con una nueva corriente que surgía en Australia a la sombra de ciertos escándalos y desastres económicos cuya raiz se hundía en el uso que, de las TIC, se había hecho en determinadas instituciones. Esa labor coral culminaría con la publicación, en enero de 2005, de la norma australiana AS8015:2005. Corporate governance of information and communication technology, germen de la posterior ISO/IEC 38500:2008. Corporate governance of information technology, publicada, finalmente, en junio de 2008. A partir de aquí, en los últimos tiempos he hecho de la difusión de los principios subyacentes al concepto de Buen Gobierno Corporativo de TI mi misión personal. De este modo, estoy tratando de concentrar todos mis esfuerzos en transmitir a las organizaciones la necesidad de poner en marcha sistemas que permitan ejercer las debidas actividades de evaluación, dirección y supervisión sobre el uso, presente y futuro, de sus propios recursos de TI.

GdTI: Claro fruto de dicho esfuerzo ha sido el libro “Waltzing with the Elephant“, publicado hace tres meses. ¿Por qué esa invitación a “bailar un vals con el elefante”?

MT: (Sonrisas). Bien, la idea parte de la expresión “the elephant in the room” (el elefante en la habitación). No se lo que ocurre en España (más sonrisas); pero en Australia no es habitual encontrarte un elefante en la habitación. De ocurrir, probablemente, lo primero que diríamos sería “¿qué diablos hace esto aquí?“. Esa es precisamente la percepción que, sobre las TI, parece existir entre los miembros de los consejos de administración de las organizaciones de hoy. En no pocas ocasiones la aparición de temas tecnológicos en las agendas de dichos consejeros parecen “desentonar” del curso normal de las reuniones del consejo. “¿Qué diablos hace ESTO aquí? ¿No deberían haberse ocupado de ello los chicos de Informática?“. “Waltzing with the Elephant” trata de poner la semilla para que los sistemas de dirección y control de las Tecnologías de la Información comiencen a verse como una herramienta más del negocio, que, por tanto, habrá de ser manejada por quien tiene potestad para manejar dicho negocio.

GdTI: En las respuestas anteriores ha venido haciendo un reiterado hincapié en el “uso de las TI” o “de los recursos de TI” de los que disponen las organizaciones. Ello, junto a su último comentario sobre “el Elefante”, ¿han de hacer pensar que debería ponerse más nitidamente el acento en ese lado de la ecuación, en el lado del usuario, en definitiva, en el lado de quien demanda soluciones y servicios habilitados por TI?

MT: Así es. Hasta ahora, gran parte de los esfuerzos que se han hecho en relación a la difusión de la necesidad de establecer marcos para el Buen Gobierno Corporativo de TI han puesto el foco y han tenido como claro destinatario el lado de la oferta, de la provisión de soluciones y servicios de TI. De este modo, dichas propuestas han devenido en meros marcos para una eficaz Gestión de TI; pero en ningún caso pueden considerarse modelos para el Gobierno de TI. Asimismo, la literatura sobre Gobierno de TI pone, una y otra vez, el acento en la figura del Director de Sistemas de Información, como protagonista principal en este escenario. Sin embargo, obviar el lado de la demanda no parece tener sentido. Sería dejar la ecuación incompleta y, además, no se antoja la mejor forma de ayudar a aproximar esos dos lados, tan habitualmente distantes. Tomemos el ejemplo de un atomóvil. Un discurso basado, principalmente, en el lado de la oferta, en mejorar dicha oferta, hablaría, casi exclusivamente, de los engranajes ocultos bajo la carrocería, del par-motor, de la potencia del vehículo, etc. Por el contrario, visto desde el lado de la demanda, podrían resultar más interesantes otros aspectos como la marca, línea o el color del coche, la existencia de sólo cinco asientos, o la posibilidad de montar siete a fin de que la familia viajase lo más cómodamente posible, etc. Orientar el mensaje hacia el lado de la demanda contribuirá a facilitar la comprensión de los problemas asociados a las TI, por parte de la gente al mando de los negocios, y ayudará  a elevar la posición de la información y sus tecnologías afines al nivel que le corresponde junto al resto de activos clave de las organizaciones.

GdTI: ¿Qué papel juega el comportamiento humano en relación a las TI?

MT: Muy buena pregunta. Esa es una de las claves, demasiado a menudo olvidada. Al principio de la conversación mencioné el comportamiento del hombre blanco, tras su llegada a Australia, y cómo dicho comportamiento había determinado el uso que se había hecho de los recursos naturales. O, por ejemplo, retomemos, de nuevo, el símil del automóvil. En este caso, tampoco hablaremos de Tecnología de la Información, hablaremos de lo que podríamos denominar “Tecnología de Transporte“. Los principios, no obstante, son, igualmente, aplicables. En el vehículo somos capaces de identificar muchas de las situaciones cotidianas que caracterizan a las TI dentro de las empresas: tenemos la fabricación externalizada en el constructor, tenemos el mantenimiento externalizado en el taller, etc.; sin embargo, nosotros como conductores (y, posiblemente, propietarios) de ese vehículo somos quienes nos hemos de ocupar de darle a esa tecnología de transporte un uso adecuado; y no sólo en nuestro propio beneficio, sino también en el de otros interesados (la familia, otros conductures, los peatones, las autoridades de Tráfico, etc.). Dependerá, por tanto, de nuestro comportamiento al volante, el que utilicemos de uno u otro modo dicho automóvil. En gran parte de los accidentes de tráfico las causas no han de buscarse en fallos mecánicos o eléctricos del vehículo, sino, simplemente, en imprudencias o despistes. De igual modo, gran parte de los problemas con las TI tienen su origen en negligencias u otros comportamientos inapropiados, no sólo de aquellos individuos que proveen dichas tecnologías, sino de los que las utilizan o, en última instancia, determinan su uso.

GdTI: Este último mensaje relativo a la responsabilidad que, sobre el uso de las TI, tienen los “conductores” de los negocios puede que no sea muy bien entendido por esas personas a cargo de las organizaciones e instituciones. ¿Cómo está siendo acogido el discurso del Buen Gobierno de TI en la Australia corporativa?

MT: ¿No es significativo el hecho de que haya tenido que venir a contar esto en España, en lugar de quedarme en Australia? (De nuevo, sonrisas). Lo cierto es que nadie es profeta en su tierra (más sonrisas). Bromas a parte, es cierto que el ritmo al que se está aceptando este mensaje del Gobierno de TI no es todo lo ágil que uno desearía. Por ese motivo estamos planteándonos abordar alguna iniciativa específica que ayude a acercar dicho mensaje a los miembros clave de la comunidad corporativa.

GdTI: ¿Cómo definiría el papel que están jugando, o que podrían jugar, organizaciones como ISACA o el itSMF en el citado acercamiento?

MT: El origen de este tipo de entidades no parece aconsejar que las nuevas iniciativas de aproximación a la comunidad corporativa hayan de seguir sus mismos pasos. Como ya he indicado, la clave estaría en evitar, en lo posible, aproximaciones a través del lado de la oferta; vertiente, que, sin duda, representan las organizaciones citadas. Por el contrario, sería más oportuno pensar en otro tipo de instituciones o asociaciones más afines a los individuos ubicados en el lado del negocio (lado de la demanda). Aún así, incluso entre las propias organizaciones mencionadas existen diferencias. Sirva como ejemplo el diferente poder de convocatoria que una y otra han demostrado en las últimas conferencias promovidas en el ámbito local australiano: itSMF Australia logró convocar a tres personas por cada asistente a los eventos organizados por los capítulos locales de ISACA.

GdTI: Y, ¿qué hay del ámbito de la Administración Pública australiana? A un año de su publicación, ¿qué efectos está teniendo el “Informe Gershon“?

MT: Efectivamente, el documento “Review of the Australian Government’s Use of Information and Communication Technology” (“Revisión del uso de las TIC por parte de la Administración Publica australiana“), firmado por Sir Peter Gershon el pasado mes de agosto de 2008, supuso todo un hito, tanto para el Sector Público australiano, como para la comunidad del Gobierno de TI en general, al resumir todas sus recomendaciones en un único mensaje: la necesidad de adoptar e implantar un marco de gobernanza de TI que permitiese evaluar, dirigir y supervisar el uso de las TI, según los dictados de la norma australiana AS8015:2005. Por desgracia, un año después, he de confesar que la lectura que se está haciendo del “Informe Gershon” está considerando, únicamente, el lado de la oferta, de forma que sólo se están abordando las iniciativas identificadas en el Plan, desde el punto de vista de mejorar la entrega de soluciones y servicios de TI, obviando la labor de dirección y control (supervisión) que el Informe demandaba de y asignaba a los representantes políticos, responsables últimos del correcto uso de los recursos de (y destinados a) las TIC, en favor de los miembros de la Sociedad australiana.

GdTI: Este año, una nueva iniciativa está tratando de elevar las TI a nivel de elemento de gobierno por parte de las organizaciones. Se trata del informe “King III“, publicado recientemente en Sudáfrica, que dedica un amplio apartado a recordar a los miembros de los consejos de administración sus responsabilidades en relación al uso que se hace de las TIC en sus respectivas compañías. ¿Cree Ud. que esta propuesta sudafricana servirá como catalizador para implusar el Buen Gobierno Corporativo de TI entre la comunidad empresarial sudafricana y, por extensión, entre la comunidad corporativa internacional? ¿Cree que podrá servir de ejemplo, para otras regulaciones, en otros países?

MT: Difícil pronóstico. Lo único realmente objetivo es que, a fecha de hoy, se ha creado un cierto excepticismo en torno a la redacción de esta nueva revisión del código sudafricano. Excepticismo sustentado en la creencia de que han podido generarse determinados intereses que pueden haber estado detrás de la publicación del nuevo documento.

GdTI: Por último, y en vista de esa próxima reunión del JTC1/WG6, en Singapur, la semana que viene, ¿cómo ve Ud. el desarrollo de la normativa relativa al Gobierno Corporativo de TI a nivel internacional?

MT: De nuevo, en este caso, cabe aplicar una cierta cautela, dada la composición de algunos órganos de representación en entidades de normalización como ISO. No en pocas ocasiones se encuentra uno con situaciones en las que en ciertos comités y grupos de trabajo se detecta una sospechosa y mayoritaria presencia de representantes vinculados de un determinado fabricante del sector TIC. Ello no sólo puede suponer una falta de independencia en los procesos de aprobación de nuevas normativas; sino que, en casos como el de la norma ISO/IEC 38500:2008, puede constituir una dificultad adicional a la hora de moldear un mensaje más afín al lado de la demanda de soluciones y servicio de TI, imprescindible, como se ha explicado con anterioridad.

GdTI: Muchas gracias, de nuevo, Sr. Toomey, por su amabilidad.

Mark Toomey abandonaba, finalmente, Madrid con destino a Frankfurt el miércoles, 25 de noviembre, tras ofrecer una serie de charlas-conferencias y mantener una serie de encuentros con representantes de algunas de las principales empresas del país.

Promoviendo el Buen Gobierno Empresarial” fue el lema elegido por el Instituto de Consejeros-Administradores (IC-A) para la cena-coloquio sobre el “Buen Gobierno de las Sociedades y Entidades“, celebrada la tarde-noche del martes, 20 de octubre, en el marco de su Convención Anual 2009.

La entidad, cuya constitución fue impulsada por las firmas KPMG y Gómez-Acebo & Pombo, viene erigiéndose desde 2003 en referente nacional en materia de Buen Gobierno Corporativo y de profesionalización de la figura del consejero. Prueba de ello ha sido la puesta en marcha de un programa de formación específico para la certificación de los miembros, actuales y futuros, de los consejos de administración en la disciplina del Buen Gobierno y cuyos primeros participantes recibieron su graduación el pasado 1 de julio.

El evento, que coincidió con el sexto aniversario del Instituto, logró reunir a casi dos centenares de consejeros, administradores y otros individuos interesados en la promoción del Buen Gobierno Corporativo; y contó, como invitado especial, con la presencia de D. Juan Ramón Quintás Seoane, Presidente de la Confederación Española de Cajas de Ahorro (CECA).

La agradable velada, celebrada en el Salón Real del Casino de Madrid, transcurrió entre las dos intervenciones del Sr. Quintás Seoane: una inicial, a modo de bienvenida, en la que desarrolló, en cierto detalle, el tema “Nuevas Perspectivas en la Regulación Bancaria“; y otra posterior, a los postres, durante la cual dio respuesta a una serie de preguntas planteadas por los asistentes.

En la conferencia se echó en falta, quizás, un mayor foco en las Cajas de Ahorro  -la ocasión no podía ser más propicia-,  dada la coyuntura actual y la situaciones vividas en los últimos meses. En este sentido, se recordó la pérdida de atribuciones de la propia CECA en relación a su antiguo papel como órgano supervisor y de control sobre las Cajas, en favor del Banco de España (… lo cual, sea dicho de paso, parece bastante saludable si se tiene en consideración el principio de independencia).

Por lo demás, el Sr. Quintás prefirió centrar su discurso en las entidades bancarias, en relación a las cuales se mencionaron ciertas “verdades” perfectamente aprovechables y, en su mayoría, de aplicación general a otras organizaciones:

  • En primer lugar, se habló ampliamente del riesgo, como componente intríseco a la naturaleza de las entidades de crédito.
  • Posteriormente, se recordó la asimetría de los actuales modelos de retribución de los miembros de los consejos de administración y de los ejecutivos (“no cabe pensar que si hay ganancias, se gane; y que si hay pérdidas, también se gane, en perjuicio de otros grupos con intereses en las compañías“); identificándose, en buena medida, esta caracterísca de lo que podría denominarse Mal Gobierno Corporativo, con una de las causas de la crisis vigente, en tanto que favorecedora de una visión cortoplacista materializada en la búsqueda de la rentabilidad/retribución personal a corto plazo, al tiempo que se obvia la continuidad y la sostenibilidad a medio/largo plazo de la organización.
  • El desequilibrio en la composición de muchos consejos de administración también fue objeto de comentario en el transcurso de la conferencia. La proporción de consejeros ejecutivos frente a independientes o, más aún, la presencia misma de los primeros en el seno de los consejos, surge como un nuevo elemento de reflexión e indudable mejora en relación a la transparencia, independencia y, consecuentemente, al incremento del nivel de Buen Gobierno de las sociedades. En este punto, Quintás hizo mención de su conocida opinión sobre la presencia de representantes políticos en los consejos de las Cajas.
  • Finalmente, otro de los aspectos tratados fue la preparación técnica de los consejeros. El ponente dio muestras de un fino humor gallego al recordar cómo un creciente número de consejos de administración en las grandes corporaciones estadounidenses llevan años poblándose de individuos cuyo bagaje se antoja muy alejado de las disciplinas tradicionalmente aceptadas, adecuadas y adoptadas entre los miembros que componen dichos órganos en España: la Economía y el Derecho.

En relación a este último punto, y sin ánimo de tratar de imitar el humor del Sr. Quintás Seoane, podrían plantearse las siguientes preguntas:

  • Acaso, al referirse a la necesidad de incrementar el grado de profesionalización de los consejeros, por vía de una mayor competencia y preparación técnica, y a pesar de no mencionarlo explícitamente, ¿cabría pensar que D. Juan Ramón estaba considerando, también, aspectos ligados a la dirección y el control de las Tecnologías de la Información, como competencias necesarias para cualquier consejero  -no sólo en empresas tecnológicas-,  como valor adicional a las tradicionales de naturaleza fiscal y/o jurídica?
  • ¿Acaso el conferenciante tenía en mente las “nuevas” atribuciones que las tendencias internacionales (norma ISO/IEC 38.500:2008. Corporate Governance of IT, King Code of Governance Principles, …) asignan a los miembros de los consejos de administración?

En suma, aunque de forma más ingenua que irónica, ¿podría pensarse que el propio IC-A escogió su lema, “Promoviendo el Buen Gobierno Empresarial“, teniendo presente su extensión a aspectos relacionados con la información y sus tecnologías afines? Realmente no lo parece, a la vista de lo que mostró la sesión.

Probablemente el propio IC-A perdió una oportunidad de oro de hacer referencia, aunque fuese mínimamente, al nuevo Código de Buen Gobierno que su entidad hermana, y admirado espejo, el Instituto de Consejeros (The Institute of Directors, IoD), sección sudafricana, acaba de publicar el pasado 1 de septiembre: el código e informe King III.

Sería un acierto subsanar este desliz el año que viene y, más aún, hacer la corrección palpable mediante la incorporación de la nueva disciplina del Gobierno Corporativo de TI, tanto en sus futuros planes formativos, como en las agendas 2010 de todos y cada uno de sus asociados.

Ello favorecería, sin duda, el acercamiento Negocio-TI y, de ese modo, la comprensión mutua y la sincronización entre ambos colectivos; requisito clave para un definitivo cambio de perspectiva de las organizaciones, sobre sus TI.

La información es, sin duda, el elemento clave para el desarrollo exitoso de las estrategias corporativas en la empresa de hoy. Disponer de una información fiable, precisa y de calidad constituye la premisa de partida para una toma de decisiones que ha de garantizar mayores tasas de crecimiento y rentabilidad, innovación y competitividad, particularmente en la presente coyuntura socio-económica. Como consecuencia, las tecnologías que sustentan, tratan y generan dicha información han alcanzado una relevancia que se hace, a todos los efectos, innegable para el actual mundo corporativo.

Ya no cabe plantearse un escenario en el que la información, y sus tecnologías afines, no formen parte de un conjunto en el que se encuentran otros activos clave como los recursos humanos, los financieros, la propiedad intelectual, las infraestructuras o las relaciones, internas y externas; sobre los cuales nadie se atrevería a arrojar ninguna duda. Ya no cabe, por tanto, plantearse un escenario en el que las Tecnologías de la Información, y la información misma, estén alejadas de los marcos de dirección y control al más alto nivel, dentro de las corporaciones.

Asi parecen corroborarlo las últimas tendencias normativas  -principalmente en la órbita anglosajona-,  relativas al Gobierno Corporativo. La publicación, ya en 2005, de la norma australiana ‘AS 8015-2005. Corporate governance of information and communication technology’ o la reedición, hace tan sólo unos días, del ‘King Code of Governance Principles’ (versión sudafricana del español Código Conthe), ubican explícitamente la responsabilidad última sobre el uso de estas tecnologías en manos de los consejos de administración de las organizaciones; y marcan con notable nitidez la línea que habrá de seguir el futuro desarrollo de este tipo de regulaciones.

Exponente destacado de la citada corriente está siendo la norma ‘ISO/IEC 38500:2008. Corporate governance of information technology’, cuyo principal mérito reside en el hecho de haber sido la primera de alcance internacional en tratar este tema. La norma identifica una serie de principios generales  -responsabilidad, estrategia, toma de decisiones sobre las inversiones y conducta humana-,  que han venido a sumarse a los tradicionales motores del Buen Gobierno: la búsqueda de un mayor rendimiento (traducido en una mayor visibilidad interna) y la necesaria conformidad normativa (entendida, principalmente, como un incremento de la transparencia hacia el mercado y hacia los diferentes grupos con intereses en la organización).

Los máximos responsables de su organización, ¿encajarían, con facilidad, la anterior argumentación?

¡Demuéstrelo!

En el día de hoy, martes, 1 de septiembre de 2009, el Instituto de Consejeros en el Sur de África (The Institute of Directors in Southern Africa), con motivo de la celebración de su sexta conferencia anual (The IoD 6th Annual Business Update Conference), ha presentado la edición 2009, la tercera, de lo que podría denominarse “el Código Conthe sudafricano”: se trata del “Código King de Principios de Gobierno Corporativo” (“King Code of Governance Principles“)y su hermano el “Informe King 2009 sobre Gobierno Corporativo para Sudáfrica” (“King Report on Governance for South Africa 2009“), conocidos como “King III“.

“King III” debe su nombre a Mervyn E. King, antiguo Presidente del Tribunal Supremo Sudafricano y actual Presidente del Comité homónimo, encargado de la revisión y actualización periódica en el país austral del código relativo al Gobierno Corporativo.

La principal novedad de nuevo código es que en él, por primera vez en un documento de esta naturaleza, se eleva a categoría de ‘elemento de gobierno’ la Gobernanza de las Tecnologías de la Información, dedicándosele un capítulo entero (el 5), tanto en el Código, como en el Informe, e identificando una serie de principios generales para el Buen Gobierno Corporativo de dichas Tecnologías, hasta un total de siete, tal y como se enumeran a continuación:

  • 5.1: El Consejo de Administración debería responsabilizarse del Gobierno Corporativo de las Tecnologías de la Información (TI).
  • 5.2: Las TI deberían estar alineadas con los objetivos de rendimiento y sostenibilidad de la compañía.
  • 5.3: El Consejo de Administración debería delegar en la Dirección de la compañía la responsabilidad de la puesta en marcha de un marco de Gobierno Corporativo de TI.
  • 5.4: El Consejo de Administración debería supervisar y evaluar los principales gastos e inversiones en TI.
  • 5.5: Las TI deberían formar parte integrante de la gestión de riesgos de la compañía.
  • 5.6: El Consejo de Administración debería garantizar que los activos de información sean gestionados eficazmente.
  • 5.7: Un Comité de Riesgos y un Comité de Auditoría deberían asistir al Consejo de Administración en relación al desempeño de sus responsabilidades sobre las TI.

La cercanía con los principios de la norma ISO/IEC 38500:2008 son evidentes. ¿Para cuando una revisión del código español con estas mismas, o más interesantes aún, novedades?